جزئیات آسیب‌پذیری

CVE-2026-0770

بهره‌برداری فعال

Langflow Langflow

Langflow exec_globals Inclusion of Functionality from Untrusted Control Sphere Remote Code Execution Vulnerability

CVSS 3.0

9.8بحرانی

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Langflow exec_globals Inclusion of Functionality from Untrusted Control Sphere Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Langflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of the exec_globals parameter provided to the validate endpoint. The issue results from the inclusion of a resource from an untrusted control sphere. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-27325.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.8بحرانی	3.0	CVEProject cvelistV5 (CNA) (zdi)	`CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Langflow	Langflow	1.4.2	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://www.zerodayinitiative.com/advisories/ZDI-26-036/ x_research-advisory
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-0770 government-resource

اطلاعات

تاریخ انتشار: ۱۴۰۴/۱۱/۰۳
آخرین به‌روزرسانی: ۱۴۰۵/۰۴/۳۱
وضعیت: PUBLISHED
صادرکننده (CNA): zdi
اولویت کلون: به‌زودی

فهرست KEV آژانس CISA

تاریخ افزوده‌شدن: ۱۴۰۵/۰۴/۳۰
مهلت رفع: ۱۴۰۵/۰۵/۰۲
استفاده در باج‌افزار: نامشخص

پیش‌بینی بهره‌برداری (EPSS)

۶۲٫۵۶٪

احتمال بهره‌برداری در ۳۰ روز

۹۹٫۱٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: yes
Exploitation: active
Technical Impact: total

ضعف‌ها (CWE)

CWE-829
Inclusion of Functionality from Untrusted Control Sphere