Langflow Smart Transform 组件存在代码执行漏洞 CVE-2026-7700，1.11.0 与 1.10.3 已修复

Langflow 1.3.0 至 1.10.2 的 Smart Transform（LambdaFilterComponent）组件存在代码注入漏洞 CVE-2026-7700。该组件把流程作者的 Instructions 和输入数据预览拼进提示词交给 LLM 生成 Python lambda，随后只做以 lambda 开头且含冒号的格式检查，就用带完整 builtins 的 eval() 求值并在 Langflow 进程内调用，恶意流程作者可直接通过 Instructions 字段利用；若暴露的流程把攻击者可控内容传入 Smart Transform，也可能经提示注入间接利用，取决于模型是否遵循注入指令。成功利用可取得 Langflow 服务进程权限执行代码，访问或修改凭据、文件、应用数据与网络资源，共享部署中可能波及其他租户。