← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Langflow activement exploitées (KEV)

Les 5 vulnérabilités Langflow dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-0770 — Langflow : inclusion de fonctionnalité depuis une sphère de contrôle non fiable Critique

  • Produit : Langflow Langflow
  • Ajoutée au catalogue : 21 juillet 2026
  • Échéance CISA : 24 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-829
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 63 %

Langflow contient une vulnérabilité d'inclusion de fonctionnalité depuis une sphère de contrôle non fiable qui permet à des attaquants distants d'exécuter du code arbitraire sur les installations affectées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-55255 — Langflow : contournement d'autorisation via clé contrôlée par l'utilisateur

  • Produit : Langflow Langflow
  • Ajoutée au catalogue : 7 juillet 2026
  • Échéance CISA : 10 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-639
  • Gravité : CVSS 8,4 (élevée)
  • Probabilité d’exploitation (EPSS) : 1 %

Langflow contient une vulnérabilité de contournement d'autorisation via clé contrôlée par l'utilisateur qui permet à un attaquant authentifié d'exécuter n'importe quel flux appartenant à un autre utilisateur en spécifiant l'identifiant de flux de la victime dans la requête.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

CVE-2025-34291 — Langflow : vulnérabilité d'erreur de validation d'origine

  • Produit : Langflow Langflow
  • Ajoutée au catalogue : 21 mai 2026
  • Échéance CISA : 4 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-346
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 93 %

Langflow contient une vulnérabilité d'erreur de validation d'origine dans laquelle une configuration CORS trop permissive combinée à un cookie de jeton de rafraîchissement configuré comme SameSite=None permet à une page web malveillante d'effectuer des requêtes cross-origin incluant des informations d'identification et d'appeler avec succès le point de terminaison de rafraîchissement. cela pourrait permettre à l'attaquant d'exécuter du code arbitraire et d'obtenir un compromis total du système via des jetons obtenus qui permettent l'accès aux points de terminaison authentifiés.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com · github.com

CVE-2026-33017 — Langflow : vulnérabilité d'injection de code Critique

  • Produit : Langflow Langflow
  • Ajoutée au catalogue : 25 mars 2026
  • Échéance CISA : 8 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94, CWE-95, CWE-306
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 96 %

Langflow contient une vulnérabilité d'injection de code qui pourrait permettre de construire des flux publics sans nécessiter d'authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-3248 — Langflow : vulnérabilité d'absence d'authentification Critique

  • Produit : Langflow Langflow
  • Ajoutée au catalogue : 5 mai 2025
  • Échéance CISA : 26 mai 2025
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-306
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

Langflow contient une vulnérabilité d'absence d'authentification dans le point de terminaison /api/v1/validate/code qui permet à un attaquant distant et non authentifié d'exécuter du code arbitraire via des requêtes HTTP élaborées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)