事件经过
IBM Langflow OSS 1.0.0至1.10.1在公共流构建端点（/api/v1/build_public_tmp/{flow_id}/flow）中包含未认证远程代码执行漏洞。该漏洞源于validate_public_flow_no_code_execution()函数中的不完整黑名单，意味着该端点（先前是主动被利用的KEV列表CVE-2026-33017的攻击目标）仍然允许某些攻击者提供的代码模式在没有认证的情况下到达exec()。发布至NVD 2026-07-17，CVSS评分8.1（高）。
影响分析
这个相同的端点类曾是CVE-2026-33017的主题，CISA在攻击者于披露后20小时内武器化该公告后将其添加到KEV，并用其来窃取LLM提供商API密钥、AWS/云凭证，并在受损实例上部署投放器。修复的黑名单不完整意味着相同的未认证RCE类仍然存在于直接集成到LLM提供商API、内部数据库和云账户的平台中，覆盖了大量AI代理部署。
攻击途径
未认证POST到/api/v1/build_public_tmp/{flow_id}/flow，包含逃避validate_public_flow_no_code_execution()黑名单的精心构造的流数据，到达无沙箱exec()
受影响系统
IBM Langflow OSS 1.0.0至1.10.1
缓解措施
应用IBM在1.10.1之后的修复；尽可能限制/移除公共流暴露；参见IBM支持公告