CVE-2026-48519

Nome do Software Vulnerável e Versões Afetadas Langflow versões anteriores a 1.9.2

Descrição O recurso Shareable Playground (também conhecido como Public Flows) permite que usuários não autenticados executem fluxos de trabalho por meio de um link. Uma falha no endpoint '/api/v1/build public tmp' permite que invasores executem código Python arbitrário no servidor ao enviar um payload JSON manipulado. O problema ocorre porque o sistema permite o fornecimento de código Python personalizado dentro da variável data.nodes[X].data.node.template.code.value durante a execução do fluxo. Mais de 30.900 implantações potencialmente afetadas foram identificadas via FOFA. Isso pode levar ao comprometimento total do sistema, roubo de dados ou interrupção do serviço.

Recomendações Atualize para a versão 1.9.2. Como medida paliativa temporária, desative o recurso Shareable Playground para impedir o acesso não autenticado ao endpoint vulnerável.