🔍 源码独立审计

对 （未定位到源码） 源码进行独立审计（置信度 60%）。

🧬 根因独立理解

<p><strong>摘要：</strong>CVE-2026-19286 是 IBM Langflow OSS 1.0.0 至 1.11.1 版本中存在的一处高危远程代码执行漏洞，CVSS 评分为 9.8。漏洞根因在于 A2A（Agent-to-Agent）公共端点在处理外部请求时未正确实施安全限制，攻击者可通过构造特制的 A2A 协议消息绕过身份验证与授权机制，进而触发任意代码执行。该漏洞影响范围广泛，且已有 PoC 公开，需引起高度重视。</p> <h2>📌 漏洞概述</h2> <p>CVE-2026-19286 是 IBM Langflow OSS 中一处严重的远程代码执行（RCE）漏洞，影响版本为 1.0.0 至 1.11.1。NVD 给出的 CVSS v3 评分为 9.8，严重性为 Critical。该漏洞属于 <strong>安全限制的不当执行（Improper Enforcement of Security Restrictions）</strong>，具体存在于 A2A（Agent-to-Agent）公共端点中。</p> <p>Langflow 是一个开源的低代码/无代码平台，用于构建和编排 AI Agent 工作流。A2A 协议用于不同 Agent 之间的通信与协作。由于该端点被设计为“公共”，意味着其可直接接收来自外部 Agent 的网络请求。然而，在受影响版本中，该端点并未对传入消息做好足够的身份验证、输入校验与权限隔离，导致远程攻击者可以利用该端点绕过系统原有的安全策略，最终实现任意代码执行。</p> <p>截至 NVD 发布时，该漏洞尚未被 CISA KEV（已知被利用漏洞目录）收录，但已有第三方 PoC 代码在 GitHub 上公开（仓库：rmhowe425/POC-CVE-2026-19286），因此实际利用风险较高。</p> <h2>🔬 漏洞根因分析</h2> <p>要理解该漏洞的技术根因，需要先了解 Langflow 中 A2A 端点的设计与执行流程。在标准的 Langflow 架构中，Agent 之间的通信由专门的路由组件处理，该组件负责解析 A2A 协议消息（通常为 JSON 格式），并将其映射到内部工作流节点。为保证安全，Langflow 在收到外部请求时，通常会通过中间件或装饰器执行两类关键检查：一是认证——确认请求方身份是否合法；二是授权——确认请求方是否有权限调用目标工作流节点。</p> <p>然而，在 CVE-2026-19286 中，开发人员在实现 A2A 公共端点时引入了逻辑缺陷。具体表现为：<strong>认证检查可在某些情况下被绕过，而工作流节点的调用未严格绑定到沙箱执行环境</strong>。攻击者可以通过构造包含恶意指令的 A2A 消息，使服务端在解析时将其解析为合法的工作流节点调用，从而触发内置的 Python 函数执行器直接执行系统命令。</p> <p>从数据流层面分析，该漏洞的触发条件主要涉及三个关键环节：</p> <ul> <li><strong>输入净化不足：</strong>A2A 端点对消息中的“动作类型”（action type）和“参数”（parameters）字段未进行严格的类型校验与白名单过滤。攻击者可以将恶意 Python 表达式或 shell 命令注入到这些字段中。</li> <li><strong>认证/授权检查位置错误：</strong>安全校验仅作用于外部网络层，而非 A2A 协议解析层内部。一旦请求穿透了前置的网络过滤器（例如通过直接访问内部服务端口或利用未公开的调用路径），后续的协议处理流程便不再进行权限复核。</li> <li><strong>动态执行函数未隔离：</strong>Langflow 的工作流引擎支持通过 eval() 或 exec() 动态执行代码片段。当 A2A 消息被映射到包含这类动态节点的图时，执行器没有对输入内容进行沙箱隔离，也未限制系统调用权限，从而造成 RCE。</li> </ul> <p>GitHub 上的 PoC 仓库展示了如何利用该缺陷：攻击者向 <code>/api/v1/a2a</code> 端点发送一个经过精心构造的 JSON 消息，并在 <code>parameters</code> 字段中嵌入 Python 代码，该代码可在服务端被当作工作流的参数值执行，从而运行任意系统命令。由于该端点通常没有 IP 白名单限制，任何能够访问到 Langflow 服务（尤其是暴露在公网的实例）的攻击者都可以直接利用。</p> <p>值得注意的是，该漏洞的根因并非单个函数写法错误，而是整体设计上忽视了 A2A 协议作为“公共端口”的信任边界。在版本 1.12.0 中，IBM 已通过加强请求签名校验、

🛤️ 漏洞触发链路

🧪 PoC 复现

公开 PoC 仓库（代码未抓取到，以下为仓库链接）：

• POC-CVE-2026-19286

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

• 根据漏洞根因编写 Nuclei 检测模板
• 在 WAF/IDS 中配置针对漏洞特征的规则
• 关注漏洞指纹库更新

🤖 高危漏洞深度独立研究引擎生成 · 2026-09-01 03:02