CVE-2026-101861

Nome do Software Vulnerável e Versões Afetadas Langflow versões 0.0.94 até 1.11.x Langflow versões 1.0.16 até 1.11.x

Descrição Uma função eval() insegura em schema.py permite que atacantes autenticados alcancem a execução remota de código. Isso ocorre quando um objeto Python contendo um método repr malicioso é colocado em listas de opções de entrada de componentes. O problema é acionado durante a conversão de um componente em uma ferramenta LangChain por meio da função ComponentToolkit.get tools(), o que pode acontecer durante salvamentos de componentes personalizados via API. O processo interpola opções em uma string de tipo Literal que é passada para o eval() sem controles de avaliação seguros.

Recomendações Atualize o Langflow para a versão 1.12.0 ou posterior. Restrinja o uso da função ComponentToolkit.get tools() e os salvamentos de componentes personalizados via API até que a atualização seja aplicada.