CVE-2026-19295

criticalPriorität · beachten · 51EPSS 0.016 · 75. PerzentilExploit · waffenfähigDERUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

2 exploits · waffenfähig

Likely / severe?

1.55% (75th) EPSS

CVSS 9.9 · critical

Is it mine?

4 products

Prüfe deine Angriffsfläche

Who says so?

3 sources

fstec_bdu · cert_bund · nvd

EPSS · bewertet 2026-10-27

IBM Langflow OSS 1.0.0 through 1.11.1 allows an authenticated attacker to execute arbitrary operating system commands in the server process by saving a flow with a crafted type field value and triggering a build of a wrapper flow that references it. This allowed privilege escalation from "authenticated flow user" to arbitrary OS-level command execution under the server process identity, bypassing the LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false policy control.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.9

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.19.9criticalCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hprimary · psirt@us.ibm.com USAusnutzbarkeit 3.1 · Auswirkung 6

v3.19.9criticalAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.7criticalCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:Fsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-95USCWE-95US

Exploits (2)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/multi/http/langflow_auth_rce_cve_2026_19295Langflow AI authenticated RCEwaffenfähig · metasploit
rmhowe425/POC-CVE-2026-19295Proof of concept exploit code for CVE-2026-19295PoC · poc_in_github

betroffene Produkte (4)

Betroffene Produkte und Versionsbereiche.

Open Source Langflow <1.11.2alle Versionencert_bundDE
Open Source Langflow< 1.11.2cert_bundDE
IBM Corp. Langflow OSS1.0.0 → 1.11.1fstec_bduRU
langflow langflow1.0.0 → 1.11.2nvdUScpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:*

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-2995Langflow OSS: Mehrere SchwachstellenDeutsch2026-08-24csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Langflow OSS ausnutzen, um beliebigen Programmcode auszuführen, und um beliebigen Programmcode mit Administratorrechten auszuführen.

auch bekannt als (1)

Weitere Namen und Kennungen dieser Entität.

BDU:2026-13149 fstec_bdu

quellen

Welche Quellen diesen Datensatz belegen und wann.

fstec_bdu cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2026-08-28geändert 2026-09-01

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://www.ibm.com/support/pages/node/7284733Vendor Advisory

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan