JVNDB-2026-024649

langflowにおける不特定の脆弱性

IBM Langflow OSS バージョン1.0.0から1.10.1までのLangflow OSSには、認証されていないリモートコード実行の脆弱性があります。この脆弱性は、パブリックフロービルドエンドポイント（/api/v1/build_public_tmp/{flow_id}/flow）に存在しています。問題の原因は、validate_public_flow_no_code_execution()関数内の不完全な拒否リストにあり、OpenDsStarAgent、CodeActAgentSmolagents、およびCSVAgentなど、複数のコード実行エージェントコンポーネントのブロックに失敗していることです。

langflow

• langflow 1.0.0 以上 1.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

IBM

• IBM Security Bulletin : Security Bulletin: Langflow is affected by remote code execution, denial of service, path traversal, and exposed credentials due to multiple unauthenticated and insufficiently authorized API endpoints

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-13448

1. National Vulnerability Database (NVD) : CVE-2026-13448

• [2026年07月22日]
    掲載