Langflow и Rails: две критические уязвимости уже в атаках

Подписан на их блог — вышла запись про две критические уязвимости, которые уже активно эксплуатируют. Одна — в Langflow, другая — в Ruby on Rails. Обе позволяют злоумышленникам получить полный контроль или утечку данных без пароля. Уже сотни попыток зафиксировано на ловушках, и это не атаки на конкретные сайты — это массовый сканирование. Проверяю у своих клиентов, кто использует эти технологии.

Прочитал у VulnCheck, что в Langflow есть уязвимость CVE-2026-0768 — через эндпоинт /api/v1/validate/code можно выполнить любой Python-код от root, аутентификация не нужна. Уязвимость известна с января, но исправленной версии в описании нет. В Rails — CVE-2026-66066: при загрузке картинки через libvips можно прочитать любые файлы на сервере, включая ключи и пароли. Риск высокий, особенно если приложение принимает файлы от пользователей. Обе дыры уже используются в автоматических сканерах — сотни попыток зафиксировано.

Считаю, что главная проблема — не в технических деталях, а в том, что такие уязвимости остаются открытыми годами, а потом всплывают в массовых атаках. У Langflow нет исправления в advisory, значит, обновлять нечего — только изолировать. А в Rails обновление есть, но нужно проверить, не использует ли приложение libvips для обработки файлов. Если да — срочно обновить activestorage. Главное — не думать, что «у нас нет такого»: эти технологии используются повсеместно, в том числе в внутренних системах, которые забыли закрыть.