What is CVE-2026-8470?
A critical flaw in IBM Langflow OSS (versions 1.0.0 - 1.10.3) uses Python's non-cryptographic 'random' module to derive Fernet encryption keys from user secrets shorter than 32 characters, allowing the deterministic Mersenne Twister PRNG to produce identical keys for identical inputs. Users should apply the patches immediately and ensure user secrets meet minimum length requirements.
Azərbaycanca: IBM Langflow OSS məhsulunda (1.0.0 - 1.10.3 versiyaları) kritik boşluq aşkarlanıb: 32 simvoldan qısa istifadəçi sirrlərindən Fernet şifrələmə açarları yaratmaq üçün Python-un kriptoqrafik olmayan 'random' modulu istifadə olunur, bu da deterministik Mersenne Twister PRNG səbəbindən eyni girişlər üçün eyni açarların təkrarlanmasına yol açır. İstifadəçilərə tövsiyə: dərhal yamaları tətbiq edin və sirrlərin uzunluğunu mütləq minimum tələbə uyğun artırın.
Related CVEs
link basis: same weakness class CWE-798; shared vendor: IBM
FAQ2
Which versions of IBM Langflow OSS are affected by CVE-2026-8470?
This critical flaw affects IBM Langflow OSS versions 1.0.0 through 1.10.3.
What is the root cause of the CVE-2026-8470 vulnerability?
The root cause is the use of Python's non-cryptographic 'random' module to derive Fernet encryption keys from user secrets shorter than 32 characters, allowing the deterministic Mersenne Twister PRNG to produce identical keys for identical inputs.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.