Dos vulnerabilidades críticas en Langflow podrían permitir a atacantes remotos sin una cuenta eludir la autenticación o ejecutar código arbitrario, según un boletín de IBM publicado el 28 de octubre y actualizado al día siguiente.
Langflow es una plataforma de código abierto para crear agentes y flujos de trabajo de IA, y sus informes de vulnerabilidades se envían a IBM. El rango afectado abarca todas las versiones desde la 1.0.0 hasta la 1.12.8. IBM identifica la versión 1.13.0 como la solución.
CVE-2026-93680 y CVE-2026-110186 tienen ambas una puntuación de 9,8, es decir, crítica, según IBM, y no requieren una cuenta. La primera podría permitir a los atacantes eludir las restricciones de seguridad mediante una autenticación incorrecta, mientras que la segunda podría permitir la ejecución de código arbitrario debido a un control inadecuado sobre la generación de código.
IBM también enumeró otras dos vulnerabilidades de Langflow. CVE-2026-110193 tiene una puntuación de 8,8 y requiere una cuenta con pocos privilegios; podría permitir que el Asistente Agéntico genere o envíe código de componentes que ejecute comandos del sistema operativo en el servidor. CVE-2026-110192 tiene una puntuación de 6,5 y podría exponer información confidencial debido a credenciales protegidas de forma insuficiente.
Uno de los problemas críticos implica la ejecución remota de código sin autenticación mediante la enumeración de herramientas del Model Context Protocol. Langflow puede exponer sus flujos como herramientas a aplicaciones de IA compatibles con MCP.
Un módulo de Metasploit Framework ya hace referencia a CVE-2026-93680. Se conecta al endpoint MCP de un servidor Langflow sin credenciales, inicia una sesión y enumera las herramientas disponibles, pero no ejecuta código ni comandos. El módulo identifica como afectadas las versiones 1.5.0 a 1.11.4, un rango más reducido que el citado por IBM.
Los informes también se refieren a la función de inicio de sesión automático de Langflow. Cuando está habilitada, esta configuración inicia la sesión de los usuarios como superusuarios sin solicitar credenciales. En la versión 1.12.8, LANGFLOW_AUTO_LOGIN está habilitada de forma predeterminada, y su código advierte que la opción elude la autenticación y debe utilizarse únicamente en entornos de desarrollo. IBM describe otro problema como una solución incompleta para un control de seguridad del inicio de sesión automático, pero no especifica si los sistemas con la función deshabilitada siguen siendo vulnerables.
Langflow 1.13.0 se publicó el 22 de octubre y deshabilita de forma predeterminada el inicio de sesión automático. IBM no proporciona ninguna solución alternativa para las instalaciones que no puedan actualizarse. Los administradores deben realizar una copia de seguridad de la base de datos, la clave secreta y los archivos cargados antes de actualizar. Las implementaciones que utilicen el inicio de sesión automático también deben preparar la cuenta existente para iniciar sesión mediante contraseña, de acuerdo con las instrucciones de actualización de Langflow.
La actualización puede realizarse con pip mediante `pip install --upgrade "langflow==1.13.0"`. Las implementaciones con Docker deben utilizar la imagen `langflowai/langflow:1.13.0` y conservar los datos persistentes. Langflow advierte que no se debe eliminar ni reinstalar la aplicación para recuperar el acceso después de una actualización, ya que esto podría eliminar permanentemente los flujos.
Ninguna de las dos vulnerabilidades críticas aparece en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA a fecha de su actualización del 30 de octubre. El catálogo sí incluye otras seis vulnerabilidades de Langflow, la más reciente de ellas CVE-2026-9198, añadida en agosto.
IBM publicó registros de otras 29 vulnerabilidades de Langflow el 29 de octubre, identificando las versiones 1.12.4 y 1.12.5 como soluciones para esos problemas. Una de ellas, CVE-2026-104339, también tiene una puntuación de 9,8 y podría permitir la ejecución de código arbitrario sin autenticación. Ninguno de los 33 registros indicaba que la versión 1.13.0 estuviera afectada.
Fuentes: The Hacker News.