Veille CVE

‹ Retour à la liste

CVE-2026-109440

8.1 Élevée

Publiée le 20/10/2026 à 03:17 · Modifiée le 20/10/2026 à 22:11 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

LangAlpha through 2026.09.07 contains an indirect prompt injection vulnerability that allows remote attackers to execute shell commands or Python by planting instructions in web content retrieved by the agent. Because Bash and ExecuteCode lack an allow-list and human-in-the-loop approval, attackers can run code in the workspace sandbox and exfiltrate vault secrets from _internal/.vault_secrets.json.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 8.6 Élevée disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 8.1 Élevée disclosure@vulncheck.com (NVD) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Références

Ailleurs