Langflow 容易遭受攻击，导致未经身份验证的攻击者可以通过特别伪造的请求，在 '/api/v1/validate/code' 端点上执行任意代码。此检测包含在“AI 和 LLM”类别中。

Langflow は、認証されていない攻撃者が「/api/v1/validate/code」エンドポイントで特別に偽造されたリクエストを介して任意のコードを実行する攻撃に脆弱です。この検出は、AI および LLM カテゴリに含まれます。

Langflow is vulnerable to an attack allowing an unauthenticated attacker to execute arbitrary code via a specially forged request on the '/api/v1/validate/code' endpoint. This detection is included in the AI and LLM category.

Langflow 容易受到攻擊，其允許未經驗證的攻擊者透過「/api/v1/validate/code」端點上特製的要求執行任意程式碼。此偵測包含在 AI 和 LLM 類別中。

远程主机上运行的 Langflow 版本受到两个漏洞影响，这些漏洞可被串联利用，进而在未经身份验证的情况下远程执行代码：

  - CVE-2026-9103：当默认 AUTO_LOGIN 配置处于启用状态时，“/api/v1/auto_login”端点会向任何未经身份验证的调用者发放超级用户 JWT 持有者标记。

  - CVE-2026-8481：“/api/v1/validate/code”端点会在“验证”过程中，使用未沙盒化的 exec() 编译并评估攻击者提供的 Python，而该 exec() 的全局作用域中暴露了 importlib 和 Python 内置命令。并且，函数默认参数值和装饰器会在定义函数时立即执行。

未经身份验证的远程攻击者可以通过以下方式串联利用这些缺陷：首先从 auto_login 端点请求超级用户标记；然后将构造的 Python 代码提交至 validate/code，其默认参数会执行任意 Python；最后以 Langflow 服务用户的身份执行任意操作系统命令。

Nessus 首先从 /auto_login 获取标记，然后强制目标对 Nessus 扫描程序执行带外回调（DNS 查找和/或直接套接字连接），借此以非破坏性方式确认该链式漏洞存在。未对目标执行任何操作系统命令。

遠端主機上執行的 Langflow 版本受到兩個弱點影響，可透過串連利用這兩個弱點來達成未驗證的遠端程式碼執行：

  - CVE-2026-9103：當啟用預設的 AUTO_LOGIN 設定時，「/api/v1/auto_login」端點會簽發超級使用者 JWT Bearer 權杖給任何未驗證的呼叫者。

  - CVE-2026-8481：「/api/v1/validate/code」端點在進行「驗證」時，會使用未沙盒化的 exec() 來編譯並執行攻擊者提供的 Python 程式碼，其 globals 暴露了 importlib 與 Python 內建功能。函式預設引數值和裝飾器會在定義時執行。

遠端且未驗證的攻擊者可以串連利用這些弱點：首先向 auto_login 端點請求超級使用者權杖，接著向 validate/code 送出精心設計的 Python 程式碼，其預設引數會以 Langflow 服務使用者的權限執行任意 Python，最終執行任意作業系統指令。

Nessus 透過從 /auto_login 取得權杖，並強制目標執行越界回呼 (DNS 查詢及/或直接 socket 連線) 回連至 Nessus 掃描器，以非破壞性方式確認了此鏈。目標上未執行任何作業系統命令。

リモートホストで実行されている Langflow のバージョンは、2 つの脆弱性の影響を受けます。これらの脆弱性は、認証されていないリモートコードの実行に連鎖する可能性があります。

  - CVE-2026-9103:「/api/v1/auto_login」エンドポイントは、デフォルトの AUTO_LOGIN 設定が有効な場合、認証されていない任意の呼び出し元に対してスーパーユーザー JWT ベアラートークンを発行します。

  - CVE-2026-8481:「/api/v1/validate/code」エンドポイントは、グローバルが importlib および Python ビルトインを露出するサンドボックス化されていない exec() を使用して、「validation」中に攻撃者が指定した Python をコンパイルおよび評価します。関数のデフォルト引数の値とデコレータは、定義時に実行されます。

リモートの認証されていない攻撃者は、最初に auto_login エンドポイントからスーパーユーザートークンをリクエストし、次に、デフォルトの引数として任意の Python コードを実行する validate/code に細工された Python コードを送信することで、これらの脆弱性を連鎖的に悪用し、最終的に Langflow サービスのユーザーとして任意のオペレーションシステムコマンドを実行することが可能です。

Nessus は、/auto_login からトークンを取得し、ターゲットに帯域外コールバック (DNS 検索やソケット直接接続) を Nessus スキャナーへ強制的に実行させることで、非破壊的にチェーンを確認しました。ターゲットでオペレーティングシステムのコマンドが実行されませんでした。

The version of Langflow installed on the remote host is 1.x.x prior to 1.10.1. It is, therefore, affected by a code injection vulnerability:

  - IBM Langflow OSS 1.0.0 through 1.10.0 allows unauthenticated attackers to chain     /api/v1/auto_login (mints SUPERUSER tokens to any network caller) with     /api/v1/validate/code (executes user code via exec()) to achieve full RCE on default     Langflow deployments. (CVE-2026-9198)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of Langflow running on the remote host is affected by two vulnerabilities that can be chained to achieve unauthenticated remote code execution:

  - CVE-2026-9103: The '/api/v1/auto_login' endpoint mints a superuser JWT bearer token to any unauthenticated caller     when the default AUTO_LOGIN configuration is enabled.

  - CVE-2026-8481: The '/api/v1/validate/code' endpoint compiles and evaluates attacker-supplied Python during     'validation' using an unsandboxed exec() whose globals expose importlib and Python builtins. Function     default-argument values and decorators are executed at definition time.

A remote, unauthenticated attacker can chain these flaws by first requesting a superuser token from the auto_login endpoint, then submitting crafted Python code to validate/code whose default argument executes arbitrary Python, and ultimately arbitrary operating system commands, as the Langflow service user.

Nessus confirmed the chain non-destructively by obtaining a token from /auto_login and coercing the target into performing an out-of-band callback (a DNS lookup and/or a direct socket connection) back to the Nessus scanner. No operating system commands were executed on the target.

ID	Name	Product	Family	Published	Updated	Severity
115357	Langflow < 1.10.1 远程代码执行	Web App Scanning	Artificial Intelligence	8/11/2026	8/11/2026	critical
115357	Langflow < 1.10.1 のリモートコードの実行	Web App Scanning	Artificial Intelligence	8/11/2026	8/11/2026	critical
115357	Langflow < 1.10.1 Remote Code Execution	Web App Scanning	Artificial Intelligence	8/11/2026	8/11/2026	critical
115357	Langflow < 1.10.1 遠端程式碼執行	Web App Scanning	Artificial Intelligence	8/11/2026	8/11/2026	critical
334529	Langflow auto_login + validate/code 链未经身份验证的 RCE (CVE-2026-9198)（直接检查）	Nessus	Artificial Intelligence	8/11/2026	8/24/2026	critical
334529	Langflow auto_login + validate/code 鏈未驗證遠端程式碼執行 (RCE) (CVE-2026-9198) (直接檢查)	Nessus	Artificial Intelligence	8/11/2026	8/24/2026	critical
334529	Langflow auto_login + validate/code Chain の認証されていない RCE (CVE-2026-9198) (Direct Check)	Nessus	Artificial Intelligence	8/11/2026	8/24/2026	critical
333371	Langflow 1.x.x < 1.10.1 Code Injection	Nessus	Artificial Intelligence	8/7/2026	8/24/2026	critical
334529	Langflow auto_login + validate/code Chain Unauthenticated RCE (CVE-2026-9198) (Direct Check)	Nessus	Artificial Intelligence	8/11/2026	8/24/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical