Nové zranitelnosti v katalogu CISA KEV – vydání 13b
CISA zařadila 25. března 2026 do katalogu aktivně zneužívaných zranitelností jednu novou položku – CVE-2026-33017 v open-source platformě Langflow.
Jedná se o kritickou zranitelnost (CVSS 9.3) umožňující vzdálené spuštění kódu bez autentizace. Chyba spočívá v endpointu pro spouštění veřejných flow, který přijímá od klienta definici toku obsahující libovolný Python kód a vykonává jej přímo pomocí funkce exec() bez jakéhokoli sandboxu.
Postiženy jsou všechny verze před 1.9.0. Oprava je dostupná ve verzi 1.9.0, kde byl endpoint upraven tak, aby akceptoval pouze flow uložené na serveru.
Doporučení: Pokud používáte Langflow, aktualizujte co nejdříve (pip install langflow==1.9.0 nebo vyšší).
Další články
EDPB zaměří kontroly na automatizovaný nábor a dokončil pravidla BCR
Evropské dozorové úřady se v roce 2027 zaměří na automatizované rozhodování při náboru. EDPB zároveň přijal konečná doporučení pro závazná podniková pravidla zpracovatelů a stanovisko k ochraně údaj
JMHZ se rozšiřuje: firmy musí připravit data i kontrolu podání
Změny jednotného měsíčního hlášení zaměstnavatele pro rok 2027 zasáhnou evidované údaje i mzdový software. Dosavadní provozní potíže současně ukazují, že firmy potřebují sledovat výsledek zpracování
Falešná podpora otevřela přístup k údajům zákazníků Wind Tre
Dva průniky přes prodejny Wind Tre zasáhly přes 365 tisíc zákazníků. Italský dozor vedle sociálního inženýrství zjistil nedostatečnou ochranu přístupových údajů a aplikačních rozhraní.