PT-2026-60833
CVE-2026-9198
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات IBM Langflow OSS من 1.0.0 إلى 1.10.0
الوصف
يمكن للمهاجمين غير المصادق عليهم تنفيذ التعليمات البرمجية عن بُعد (RCE) في عمليات النشر الافتراضية عن طريق ربط نقطتي نهاية. أولاً، تسمح نقطة النهاية ’/api/v1/auto login‘ بإنشاء رموز SUPERUSER لأي متصل عبر الشبكة. بعد ذلك، تقوم نقطة النهاية ’/api/v1/validate/code‘ بتنفيذ التعليمات البرمجية التي يقدمها المستخدم عبر الدالة
exec()، وهي دالة في لغة Python تقوم بتنفيذ السلاسل النصية ديناميكيًا كرموز برمجية. تنشأ هذه المشكلة عن الإدارة غير السليمة لعملية إنشاء التعليمات البرمجية.التوصيات
تحديث IBM Langflow OSS إلى إصدار أحدث من 1.10.0.
تقييد الوصول إلى نقطتي النهاية ’/api/v1/auto login‘ و ’/api/v1/validate/code‘ لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾