Zwei kritische Schwachstellen in Langflow könnten es entfernten Angreifern ohne Benutzerkonto ermöglichen, die Authentifizierung zu umgehen oder beliebigen Code auszuführen. Dies geht aus einem am 28. Oktober veröffentlichten und am folgenden Tag aktualisierten IBM-Bulletin hervor.
Langflow ist eine Open-Source-Plattform zum Erstellen von KI-Agenten und Workflows; seine Schwachstellenmeldungen werden bei IBM eingereicht. Der betroffene Bereich umfasst jede Version von 1.0.0 bis einschließlich 1.12.8. IBM nennt Version 1.13.0 als korrigierte Version.
CVE-2026-93680 und CVE-2026-110186 werden von IBM beide mit 9,8 beziehungsweise kritisch bewertet und erfordern kein Benutzerkonto. Die erste Schwachstelle könnte es Angreifern ermöglichen, Sicherheitsbeschränkungen durch eine fehlerhafte Authentifizierung zu umgehen, während die zweite die Ausführung beliebigen Codes durch eine unzureichende Kontrolle der Codegenerierung ermöglichen könnte.
IBM listete außerdem zwei weitere Langflow-Schwachstellen auf. CVE-2026-110193 wird mit 8,8 bewertet und erfordert ein Konto mit niedrigen Berechtigungen; sie könnte es dem Agentic Assistant ermöglichen, Komponenten-Code zu generieren oder einzureichen, der Betriebssystembefehle auf dem Server ausführt. CVE-2026-110192 hat eine Bewertung von 6,5 und könnte durch unzureichend geschützte Zugangsdaten zur Offenlegung vertraulicher Informationen führen.
Eine der kritischen Schwachstellen betrifft die nicht authentifizierte Remote-Codeausführung durch die Auflistung von Model-Context-Protocol-Tools. Langflow kann seine Flows als Tools für KI-Anwendungen bereitstellen, die MCP unterstützen.
Ein Modul des Metasploit Framework verweist bereits auf CVE-2026-93680. Es verbindet sich ohne Zugangsdaten mit dem MCP-Endpunkt eines Langflow-Servers, startet eine Sitzung und listet die verfügbaren Tools auf, führt jedoch keinen Code und keine Befehle aus. Das Modul nennt die Versionen 1.5.0 bis 1.11.4 als betroffen – ein engerer Bereich als der von IBM angegebene.
Die Meldungen betreffen außerdem Langflows Funktion zur automatischen Anmeldung. Wenn diese Einstellung aktiviert ist, meldet sie Benutzer als Superuser an, ohne Zugangsdaten anzufordern. In Version 1.12.8 ist LANGFLOW_AUTO_LOGIN standardmäßig aktiviert, und der Code warnt, dass diese Option die Authentifizierung umgeht und nur in Entwicklungsumgebungen verwendet werden sollte. IBM beschreibt ein weiteres Problem als unvollständige Behebung einer Sicherheitskontrolle für die automatische Anmeldung, gibt jedoch nicht an, ob Systeme mit deaktivierter Funktion weiterhin gefährdet sind.
Langflow 1.13.0 wurde am 22. Oktober veröffentlicht und deaktiviert die automatische Anmeldung standardmäßig. IBM bietet keine Umgehungslösung für Installationen, die kein Upgrade durchführen können. Administratoren sollten vor dem Upgrade die Datenbank, den geheimen Schlüssel und hochgeladene Dateien sichern. Bereitstellungen, die die automatische Anmeldung verwenden, sollten außerdem gemäß Langflows Upgrade-Anleitung das bestehende Konto für die passwortbasierte Anmeldung vorbereiten.
Das Upgrade kann mit pip über `pip install --upgrade "langflow==1.13.0"` durchgeführt werden. Docker-Bereitstellungen sollten das Image `langflowai/langflow:1.13.0` verwenden und dabei persistente Daten beibehalten. Langflow warnt davor, die Anwendung zu löschen oder neu zu installieren, um nach einem Upgrade wieder Zugriff zu erhalten, da dadurch Flows dauerhaft gelöscht werden könnten.
Keine der beiden kritischen Schwachstellen erscheint zum Stand der Aktualisierung vom 30. Oktober im Katalog der Known Exploited Vulnerabilities von CISA. Der Katalog enthält jedoch sechs weitere Langflow-Schwachstellen, zuletzt CVE-2026-9198, die im August aufgenommen wurde.
IBM veröffentlichte am 29. Oktober Datensätze zu 29 weiteren Langflow-Schwachstellen und identifizierte die Versionen 1.12.4 und 1.12.5 als behobene Versionen für diese Probleme. Eine davon, CVE-2026-104339, wird ebenfalls mit 9,8 bewertet und könnte eine nicht authentifizierte Ausführung beliebigen Codes ermöglichen. Keiner der 33 Datensätze führt Version 1.13.0 als betroffen auf.
Quellen: The Hacker News.