IBM Langflow OSS: Code-Injection ermöglicht Remote Code Execution
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle bei der Codegenerierung (CWE-94), durch die ein entfernter Angreifer beliebigen Code auf dem Server ausführen kann. Der CVSS-Vektor bewertet die Schwachstelle so, dass keine Berechtigungen und keine Benutzerinteraktion nötig sind, weshalb ein erfolgreicher Angriff zur vollständigen Kompromittierung des betroffenen Systems führen kann. Die Sicherheitsmitteilung von IBM ist massgebend dafür, ob eine Authentifizierung nötig ist; eine verwandte CVE wird als Authentifizierung voraussetzend beschrieben, weshalb bis zur Prüfung der Mitteilung vom ungünstigsten Fall ausgegangen werden sollte.
IBM · Langflow OSS
