Unauthenticated Remote Code Execution via Auto-Login Bypass and Code Validation
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
IBM Langflow possui uma falha crítica que permite a qualquer pessoa na rede executar código no servidor sem precisar de senha. Um invasor pode contornar proteções de login e executar comandos arbitrários, tomando controle total do sistema.
CVE-2026-9198 encadeia dois endpoints da API: /api/v1/auto_login emite tokens SUPERUSER para chamadas de rede não autenticadas, e /api/v1/validate/code executa código Python arbitrário via exec(). Um invasor com acesso à rede pode obter privilégios elevados e alcançar execução remota de código em instalações padrão (CVSS 9.8).