CVE-2026-27966: stato di sfruttamento e disponibilità della patch

CVE-2026-27966 · CVSS 9.8 CRITICAL · EPSS 34%

Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to version 1.8.0, the CSV Agent node in Langflow hardcodes `allow_dangerous_code=True`, which automatically exposes LangChain’s Python REPL tool (`python_repl_ast`). As a result, an attacker can execute arbitrary Python and OS commands on the server via prompt injection, leading to full Remote Code Execution (RCE). Version 1.8.0 fixes the issue.

CVE-2026-27966 viene sfruttato?

• Non è nel catalogo CISA KEV.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 34%.
• Codice di exploit pubblico: integrato in uno strumento pubblico.

Quali prodotti e versioni sono interessati?

Nessun elenco di pacchetti interessati registrato qui.

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-27966

• Metasploit Makes Langflow Exploitation Easy to Verify (2026-04-25)

Fonti primarie

• NVD record
• Metasploit: exploit/multi/http/langflow_rce_cve_2026_27966

Cosa questa scheda non dice

• Nessun dato sui pacchetti interessati.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.