CVE-2026-0768: stato di sfruttamento e disponibilità della patch

CVE-2026-0768 · CVSS 9.8 CRITICAL · EPSS 28%

Langflow code Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Langflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of the code parameter provided to the validate endpoint. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of root. . Was ZDI-CAN-27322.

CVE-2026-0768 viene sfruttato?

• Non è nel catalogo CISA KEV.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 28%.
• Codice di exploit pubblico: integrato in uno strumento pubblico.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

• Langflow · Langflow · 1.4.2

Esiste una patch?

Il record di Langflow non indica una versione corretta.

Cosa ha pubblicato PlainSec su CVE-2026-0768

• Langflow exploitation turns AI builders into secret vaults (2026-10-07)
• Langflow probes spread into Rails secrets theft (2026-09-02)

Fonti primarie

• NVD record
• Metasploit: exploit/multi/http/langflow_unauth_rce_cve_2026_0768
• Nuclei template

Cosa questa scheda non dice

• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-10-25.