Langflow CSV Aracı Komut Enjeksiyonu ile RCE (CVE-2026-27966)

CVSS 9.8. Langflow'un CSVAgentComponent'i `allow_dangerous_code=True` değerini sabit kodlayarak LangChain'in Python REPL aracını otomatik olarak etkinleştiriyor. Saldırganlar, kullanıcı tarafından sağlanan girdi üzerinden kötü amaçlı komutlar enjekte ederek keyfi Python/OS komutlarını çalıştırabiliyor. Kimlik doğrulama gerekmiyor. 1.8.0 öncesi sürümleri etkiliyor.