CVE-2026-0768criticalexplotación observadaCWE-94

CVE-2026-0768: fallo crítico en Langflow

Langflow code Code Injection Remote Code Execution Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Langflow

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 9.8epss 28%
de la publicación al arma221 días
Publicada en NVD23 ene
1ª PoC+221d
metasploit+222d
VulnCheck+218d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Langflow code Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Langflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of the code parameter provided to the validate endpoint. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of root. . Was ZDI-CAN-27322.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Langflow · Langflow
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Langflow

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-34291CRITICALLangflow <= 1.6.9 CORS Misconfiguration to Token Hijack & RCEEPSS 93.2%KEVCVE-2026-0770CRITICALLangflow exec_globals Inclusion of Functionality from Untrusted Control Sphere Remote Code Execution VulnerabilityEPSS 62.6%KEVCVE-2026-0769CRITICALLangflow eval_custom_component_code Eval Injection Remote Code Execution VulnerabilityEPSS 41.2%CVE-2026-0772HIGHLangflow Disk Cache Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.2%CVE-2026-0771HIGHLangflow PythonFunction Code Injection Remote Code Execution VulnerabilityEPSS 0.6%