Podle zdroje umožňuje kritická zranitelnost CVE-2026-105740 s hodnocením CVSS 9.9 autentizovaným uživatelům nástroje Langflow spouštět libovolné příkazy operačního systému na serveru. K provedení kódu bez validace a sandboxingu dochází při přidání MCP serveru s transportem 'Stdio', přičemž pole env navíc umožňuje podvržení proměnných prostředí. K dispozici je oficiální oprava i funkční proof-of-concept.
V open-source platformě Langflow pro vývoj a nasazení aplikací s umělou inteligencí bylo odhaleno 24 nových bezpečnostních zranitelností. Podle CSIRT Itálie jsou 2 z nich hodnoceny jako kritické a 18 jako vysoce závažné.
Podle italského CSIRT byly zveřejněny funkční exploity (PoC) pro čtyři nové bezpečnostní zranitelnosti v open-source platformě Langflow. Dvě z těchto chyb mají kritickou a dvě vysokou závažnost.
Podle zjištění útočníci aktivně zneužívají neautentizovanou chybu vzdáleného spuštění kódu CVE-2026-0768 v open-source frameworku Langflow. Cílem útoků je krádež přihlašovacích údajů, tokenů a API klíčů, například ke službám OpenAI a AWS.
Zdroj uvádí, že v platformě LangFlow byly odhaleny nové zranitelnosti, z nichž dvě mají kritickou závažnost a čtyři vysokou závažnost. LangFlow je open-source platforma určená pro vývoj, testování a nasazování aplikací a agentů založených na umělé inteligenci.
Podle CISA byla zranitelnost CVE-2026-0770 v produktu Langflow zařazena do katalogu známých zneužívaných zranitelností. Datum, do kterého by měla být opravena, je 24. července 2026.
Podle Check Point Research došlo v tomto týdnu k několika výrazným incidentům: Texas Parks and Wildlife Department zasáhl útok na prodejce License systému s expozicí údajů 3 milionů zákazníků; WordPress plugin ShapedPlugin byl cílem útoku na supply chain s instalací malwaru; zdravotnická společnost iRhythm Technologies utrpěla kyberútok s kradežemi zdravotnických údajů; platforma Klue byla kompromitována s krádežemi OAuth tokenů. Zdroj také popisuje nové hrozby s umělou inteligencí,…