CVE-2026-9135
CRITICAL(9.9)CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- CVSS 9.9 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.9
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-9135 betrifft IBM Langflow OSS Versionen 1.0.0 bis 1.10.0 (bis 1.9.2, Commit 94981c443d4918517b9e8163d70fc598dc33a32d) und ist eine Code-Injection-Schwachstelle in der Policies-Komponente. Sie ermöglicht es authentifizierten Benutzern mit Flow-Erstellungsberechtigungen, beliebigen Python-Code auf dem Backend auszuführen, selbst wenn die Sicherheitskontrolle allow_custom_components=false aktiviert ist. Die Schwachstelle umgeht die Validierung, indem sie dynamische CodeInput-Felder ausnutzt, die nicht geprüft werden, wenn ToolGuard Python-Dateien generiert und speichert. Angreifer können bösartigen Python-Code in diese Felder einbetten, der serverseitig ausgeführt wird, wenn ein geschütztes Tool über die ToolGuard-Laufzeit aufgerufen wird. Dies kann zu einer Eskalation durch Cross-Tenant-Flow-Manipulation führen, insbesondere in Kombination mit öffentlich zugänglichen Flows und spezifischen Fehlkonfigurationen wie AUTO_LOGIN=true und NEW_USER_IS_ACTIVE=true, was die Authentifizierungsanforderungen reduziert. Die Schwachstelle wird mit einem CVSS-Score von 9.9 (CRITICAL) bewertet, was auf ein extrem hohes Risiko hinweist. Obwohl der EPSS-Wert mit 1% eine geringe Wahrscheinlichkeit für die Ausnutzung angibt und die Schwachstelle nicht in der CISA KEV-Liste aufgeführt ist, sollte die hohe Kritikalität aufgrund der Möglichkeit der Remote Code Execution nicht unterschätzt werden. Die potenziellen Auswirkungen auf die Systemintegrität und -vertraulichkeit sind erheblich. Security-Teams sollten umgehend prüfen, ob betroffene IBM Langflow OSS-Instanzen im Einsatz sind. Es wird dringend empfohlen, verfügbare Patches oder Updates des Herstellers unverzüglich einzuspielen, um diese kritische Schwachstelle zu beheben. Bis zur vollständigen Behebung sollten gegebenenfalls Workarounds oder zusätzliche Sicherheitsmaßnahmen implementiert werden, um das Risiko zu minimieren, und Systeme auf ungewöhnliche Aktivitäten überwacht werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
IBM Langflow OSS 1.0.0 through 1.10.0 Langflow versions up to 1.9.2 (commit 94981c443d4918517b9e8163d70fc598dc33a32d) contain a code injection vulnerability in the Policies component's ToolGuard integration that bypasses the allow_custom_components=false security control. The vulnerability exists because the validation mechanism only checks the main component source code in node_template["code"]["value"] but fails to validate dynamic CodeInput fields that store generated ToolGuard Python files. Attackers can embed malicious Python code in these unvalidated dynamic fields, which are persisted in Flow.data and later executed server-side when a guarded tool is invoked through the ToolGuard runtime. This allows authenticated users with flow creation privileges to achieve arbitrary Python code execution on the backend despite custom component restrictions. The vulnerability can be escalated through cross-tenant flow manipulation via the agentic MCP update_flow_component_field tool, which accepts attacker-controlled user_id parameters, enabling attackers to inject malicious code into victim users' flows. When combined with publicly accessible flows and specific misconfigurations (AUTO_LOGIN=true, NEW_USER_IS_ACTIVE=true), the attack can be conducted with reduced authentication requirements.