CVE-2026-12944: Langflow 1.10.0 — urllib SSRF

Langflow OSS (≤ 1.10.0) — 커스텀 컴포넌트에서 urllib.request / socket을 통한 임의 코드 실행이 가능한 취약점.
컴포넌트 스캐너의 차단 목록(denylist)이 이러한 표준 라이브러리 모듈을 놓쳤습니다. 1.10.1에서 수정됨 (IBM).

심각도: PR:L (공개 재현 가능 / 낮은 심각도)

익스플로잇 엔드포인트: POST /api/v1/custom_component
세션 쿠키 또는 베어러 토큰이 필요합니다.

인증된 접근을 얻는 방법 (3가지 쉬운 경로)

1. --test — 인증이 필요하지 않습니다. 공개된 GET /api/v1/version만 수행합니다.
2. --read / --fetch — 먼저 인증:
   • 자동 로그인 활성화됨 (기본 Langflow에서 기본값):
     GET /api/v1/auto_login. JSON 응답에 이 포함되어 있으면 를 전송합니다 (사용자 이름/비밀번호 불필요).