Langflow exec_globals Schwachstelle für Remote-Codeausführung durch Einbeziehung von Funktionalität aus nicht vertrauenswürdiger Kontrollsphäre
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Langflow exec_globals – Einbeziehung von Funktionalität aus einer nicht vertrauenswürdigen Kontrollsphäre – Schwachstelle für Remote-Codeausführung. Diese Schwachstelle ermöglicht es Remote-Angreifern, beliebigen Code auf betroffenen Installationen von Langflow auszuführen. Zur Ausnutzung dieser Schwachstelle ist keine Authentifizierung erforderlich. Der spezifische Fehler liegt in der Verarbeitung des Parameters exec_globals, der an den validate-Endpunkt übergeben wird. Das Problem resultiert aus der Einbeziehung einer Ressource aus einer nicht vertrauenswürdigen Kontrollsphäre. Ein Angreifer kann diese Schwachstelle ausnutzen, um Code im Kontext von root auszuführen. Es handelte sich um ZDI-CAN-27325.
http/cves/2026/CVE-2026-0770.yaml
modules/exploits/multi/http/langflow_rce_cve_2026_0770.rb
Proof of Concept für CVE-2026-0770 - Langflow Remote Code Execution
LangFlow RCE | CVE-2026-0770 | Proof-of-Concept
Langflow Remote Code Execution (RCE) Proof-of-Concept
Exploit zur Remote-Code-Ausführung für Langflow, der einen Proof-of-Concept für CVE-2025-0770 bereitstellt, um die Schwachstelle in betroffenen Bereitstellungen zu demonstrieren und zu testen.
CVE-Reproduktion: cve-2026-0770-langflow_rce_reproduction
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.
Proof-of-Concept-Exploit, der eine Remote-Codeausführung auf Langflow über `/api/v1/validate/code` ermöglicht. Wird für Sicherheitsforschung und Bildung verwendet.
CVE-2026-0770
Diamorphine · multiple · 29.05.2026