Deux vulnérabilités critiques de Langflow pourraient permettre à des attaquants distants sans compte de contourner l’authentification ou d’exécuter du code arbitraire, selon un bulletin d’IBM publié le 28 octobre et mis à jour le lendemain.

Langflow est une plateforme open source destinée à créer des agents et des workflows d’IA, et ses rapports de vulnérabilité sont transmis à IBM. La plage concernée couvre toutes les versions allant de la 1.0.0 à la 1.12.8. IBM indique que la version 1.13.0 corrige ces problèmes.

CVE-2026-93680 et CVE-2026-110186 ont toutes deux reçu la note de 9,8, soit un niveau critique, de la part d’IBM et ne nécessitent pas de compte. La première pourrait permettre aux attaquants de contourner les restrictions de sécurité en raison d’une authentification incorrecte, tandis que la seconde pourrait permettre l’exécution de code arbitraire en raison d’un contrôle insuffisant de la génération de code.

IBM a également recensé deux vulnérabilités supplémentaires dans Langflow. CVE-2026-110193 a reçu la note de 8,8 et nécessite un compte disposant de faibles privilèges ; elle pourrait permettre à l’Agentic Assistant de générer ou de soumettre du code de composant exécutant des commandes du système d’exploitation sur le serveur. CVE-2026-110192 a reçu la note de 6,5 et pourrait exposer des informations sensibles en raison d’identifiants insuffisamment protégés.

L’un des problèmes critiques concerne l’exécution de code à distance sans authentification par l’énumération des outils du Model Context Protocol. Langflow peut exposer ses flux sous forme d’outils aux applications d’IA prenant en charge MCP.

Un module du Metasploit Framework fait déjà référence à CVE-2026-93680. Il se connecte sans identifiants au point de terminaison MCP d’un serveur Langflow, ouvre une session et répertorie les outils disponibles, mais n’exécute ni code ni commandes. Le module identifie les versions 1.5.0 à 1.11.4 comme étant concernées, une plage plus étroite que celle citée par IBM.

Les rapports concernent également la fonctionnalité de connexion automatique de Langflow. Lorsqu’elle est activée, cette configuration connecte les utilisateurs en tant que superutilisateurs sans demander d’identifiants. Dans la version 1.12.8, LANGFLOW_AUTO_LOGIN est activé par défaut, et son code avertit que cette option contourne l’authentification et ne doit être utilisée que dans des environnements de développement. IBM décrit un autre problème comme une correction incomplète d’un contrôle de sécurité lié à la connexion automatique, mais ne précise pas si les systèmes sur lesquels cette fonctionnalité est désactivée restent vulnérables.

Langflow 1.13.0 a été publiée le 22 octobre et désactive par défaut la connexion automatique. IBM ne fournit aucune solution de contournement pour les installations qui ne peuvent pas être mises à niveau. Les administrateurs doivent sauvegarder la base de données, la clé secrète et les fichiers téléversés avant la mise à niveau. Les déploiements utilisant la connexion automatique doivent également préparer le compte existant à une connexion par mot de passe, conformément aux instructions de mise à niveau de Langflow.

La mise à niveau peut être effectuée avec pip à l’aide de `pip install --upgrade "langflow==1.13.0"`. Les déploiements Docker doivent utiliser l’image `langflowai/langflow:1.13.0` tout en conservant les données persistantes. Langflow déconseille de supprimer ou de réinstaller l’application pour récupérer l’accès après une mise à niveau, car cela pourrait supprimer définitivement les flux.

Aucune des deux vulnérabilités critiques ne figure apparemment dans le catalogue des vulnérabilités exploitées connues de la CISA, selon sa mise à jour du 30 octobre. Le catalogue comprend toutefois six autres vulnérabilités de Langflow, la plus récente étant CVE-2026-9198, ajoutée en août.

IBM a publié le 29 octobre les fiches de 29 vulnérabilités supplémentaires de Langflow, en identifiant les versions 1.12.4 et 1.12.5 comme correctifs pour ces problèmes. L’une d’entre elles, CVE-2026-104339, a également reçu la note de 9,8 et pourrait permettre l’exécution de code arbitraire sans authentification. Aucune des 33 fiches ne mentionnait la version 1.13.0 comme étant concernée.

Sources: The Hacker News.