CVE-2026-12940

Adatlap

CVE: CVE-2026-12940
EUVD: EUVD-2026-51240
GHSA: GHSA-gx45-8jc3-gqqr
Eszköztípus: IT
Publikálva: 2026. 07. 30. 18:41
Frissítve: 2026. 07. 31. 05:56
Súlyosság: Kritikus
Prioritás: Normál
CWE: CWE-78

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	9,8	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

IBM Langflow OSS 1.0.0 through 1.10.1 are vulnerable to unauthenticated remote code execution via environment variable injection in the MCP (Model Context Protocol) stdio launcher. The vulnerability exists in src/lfx/src/lfx/base/mcp/util.py where the DANGEROUS_ENV_VARS blocklist fails to include SHELLOPTS , BASHOPTS , and PS4 environment variables.

Érintett termékek

Langflow OSS IBM Verziók: 1.0.0 – <= 1.10.1

Prioritás

Szint: Normál
Teendő: Különösebb intézkedés nem szükséges: a szoftvert a normál frissítési ütemezés szerint frissítse.

Kihasználási státusz

EPSS: 0,94%
Automatizálhatóság: Igen
Technikai hatás: Teljes

Javítás

Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között

Megoldás (CNA)

IBM strongly recommends addressing the vulnerability now by upgrading Langflow OSS to version 1.10.2 https://pypi.org/project/langflow/