ملف langflow-summer-2026-kev-waveسلسلة توريد الذكاء الاصطناعي4 أغسطس 2026عالمي

Langflow تتلقى أربعة إدراجات إضافية في KEV خلال 2026: اختطاف رموز وIDOR وتنفيذ شيفرة بصلاحيات الجذر

بين مايو وأغسطس 2026 أضافت CISA الثغرات CVE-2025-34291 وCVE-2026-55255 وCVE-2026-0770 وCVE-2026-9198 إلى KEV؛ وتسلسل الأخيرة نقطة نهاية auto_login تصدر رموز مستخدم أعلى مع exec() في التحقق من الشيفرة لتنفيذ شيفرة دون مصادقة على التثبيتات الافتراضية.

حرجةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق

افتح في الخريطة التفاعلية الاستشهاد بهذا الملف

تاريخ الإبلاغ: 4 أغسطس 2026
الموقع: عالمي
الهدف: خوادم سير عمل وكلاء الذكاء الاصطناعي Langflow
الخطورة: حرجة
الجهة المنفذة: غير معروف
نوع الجهة: غير معروف
الخسارة المُعلنة: لم يُعلن عن خسارة
CVE: CVE-2026-9198

ماذا حدث

الأثر: اختراق كامل دون مصادقة لعمليات نشر Langflow الافتراضية والاستيلاء على حسابات المستخدمين المصادق عليهم؛ ولم يُكشف عن عدد الضحايا

من نفّذها

الجهة: غير معروف

الإسناد: صنفت CISA كل CVE كمستغلة بنشاط؛ ولا نسبة علنية للحملات

الدافع: غير معروف؛ تحوي مضيفات Langflow عادةً مفاتيح API للنماذج اللغوية وبيانات الخطوط

كيف حدثت

أسلوب الهجوم: تجديد رموز عبر الأصول ببيانات اعتماد، وIDOR على /api/v1/responses، وإساءة استخدام exec_globals على نقطة التحقق، وسلسلة auto_login مع validate/code

السبب الجذري: نقاط ضعف تصميمية متكررة في المصادقة وتنفيذ الشيفرة عبر إصدارات Langflow من 1.4 إلى 1.10

التسلسل الزمني

21 مايو 2026إضافة CVE-2025-34291 (اختطاف رموز عبر CORS وSameSite إلى تنفيذ شيفرة، CVSS 9.4) إلى KEV
7 يوليو 2026إضافة CVE-2026-55255 (IDOR لتشغيل تدفقات مستخدمين آخرين، أُصلحت في 1.9.1) إلى KEV
21 يوليو 2026إضافة CVE-2026-0770 (تنفيذ شيفرة بصلاحيات الجذر دون مصادقة عبر exec_globals، ZDI-26-036) إلى KEV
4 أغسطس 2026إضافة CVE-2026-9198 (سلسلة رمز المستخدم الأعلى عبر auto_login، أُصلحت في 1.10.1) إلى KEV

الاستجابة

الترقية إلى Langflow 1.10.1 أو أحدث؛ وأصدرت IBM، التي تشرف الآن على Langflow، تنبيهات وطُبقت مهل إصلاح فدرالية

الحالة الراهنة: تم الترقيع

المصادر (تُفتح في تبويب جديد)

CISA KEV CVE-2026-9198 cisa.gov
CISA KEV CVE-2025-34291 cisa.gov
IBM advisory ibm.com
Langflow advisory GHSA-qrpv-q767-xqq2 github.com

الاستشهاد بهذا الملف

Langflow تتلقى أربعة إدراجات إضافية في KEV خلال 2026: اختطاف رموز وIDOR وتنفيذ شيفرة بصلاحيات الجذر. AI Threat Watch, ملف langflow-summer-2026-kev-wave, 4 أغسطس 2026. https://aithreat.io/ar/cases/langflow-summer-2026-kev-wave/

رابط دائم: https://aithreat.io/ar/cases/langflow-summer-2026-kev-wave/