Due vulnerabilità critiche in Langflow potrebbero consentire ad aggressori remoti privi di un account di aggirare l’autenticazione o eseguire codice arbitrario, secondo un bollettino IBM pubblicato il 28 ottobre e aggiornato il giorno successivo.

Langflow è una piattaforma open source per la creazione di agenti e flussi di lavoro basati sull’IA, e le sue segnalazioni di vulnerabilità vengono sottoposte a IBM. L’intervallo interessato comprende ogni versione dalla 1.0.0 alla 1.12.8. IBM identifica la versione 1.13.0 come correzione.

CVE-2026-93680 e CVE-2026-110186 hanno entrambe una valutazione di 9,8, ossia critica, da parte di IBM e non richiedono un account. La prima potrebbe consentire agli aggressori di aggirare le restrizioni di sicurezza attraverso un’autenticazione impropria, mentre la seconda potrebbe permettere l’esecuzione di codice arbitrario a causa di un controllo inadeguato sulla generazione del codice.

IBM ha inoltre elencato altre due vulnerabilità di Langflow. CVE-2026-110193 ha una valutazione di 8,8 e richiede un account con privilegi ridotti; potrebbe consentire all’Agentic Assistant di generare o inviare codice di componenti che esegue comandi del sistema operativo sul server. CVE-2026-110192 ha una valutazione di 6,5 e potrebbe esporre informazioni sensibili a causa di credenziali protette in modo insufficiente.

Uno dei problemi critici riguarda l’esecuzione di codice remoto non autenticata attraverso l’enumerazione degli strumenti del Model Context Protocol. Langflow può esporre i propri flussi come strumenti alle applicazioni di IA che supportano MCP.

Un modulo del Metasploit Framework fa già riferimento a CVE-2026-93680. Il modulo si connette all’endpoint MCP di un server Langflow senza credenziali, avvia una sessione ed elenca gli strumenti disponibili, ma non esegue codice o comandi. Il modulo identifica come interessate le versioni dalla 1.5.0 alla 1.11.4, un intervallo più ristretto rispetto a quello citato da IBM.

Le segnalazioni riguardano anche la funzione di accesso automatico di Langflow. Quando è abilitata, l’impostazione effettua l’accesso degli utenti come superutenti senza richiedere credenziali. Nella versione 1.12.8, LANGFLOW_AUTO_LOGIN è abilitata per impostazione predefinita e il relativo codice avverte che l’opzione aggira l’autenticazione e dovrebbe essere utilizzata solo negli ambienti di sviluppo. IBM descrive un altro problema come una correzione incompleta per un controllo di sicurezza dell’accesso automatico, ma non specifica se i sistemi con la funzione disabilitata rimangano vulnerabili.

Langflow 1.13.0 è stata rilasciata il 22 ottobre e disabilita l’accesso automatico per impostazione predefinita. IBM non fornisce alcuna soluzione alternativa per le installazioni che non possono essere aggiornate. Gli amministratori dovrebbero eseguire il backup del database, della chiave segreta e dei file caricati prima dell’aggiornamento. Le distribuzioni che utilizzano l’accesso automatico dovrebbero inoltre preparare l’account esistente per l’accesso basato su password secondo le indicazioni di aggiornamento di Langflow.

L’aggiornamento può essere eseguito con pip usando `pip install --upgrade "langflow==1.13.0"`. Le distribuzioni Docker dovrebbero usare l’immagine `langflowai/langflow:1.13.0` mantenendo i dati persistenti. Langflow avverte di non eliminare o reinstallare l’applicazione per recuperare l’accesso dopo un aggiornamento, poiché ciò potrebbe rimuovere definitivamente i flussi.

Al 30 ottobre, data dell’aggiornamento, nessuna delle due vulnerabilità critiche sembrava figurare nel catalogo delle vulnerabilità sfruttate note di CISA. Il catalogo include invece altre sei vulnerabilità di Langflow, l’ultima delle quali è CVE-2026-9198, aggiunta ad agosto.

IBM ha pubblicato il 29 ottobre le schede relative ad altre 29 vulnerabilità di Langflow, identificando le versioni 1.12.4 e 1.12.5 come correzioni per tali problemi. Una di esse, CVE-2026-104339, ha anch’essa una valutazione di 9,8 e potrebbe consentire l’esecuzione di codice arbitrario non autenticata. Nessuna delle 33 schede indicava la versione 1.13.0 come interessata.

Fonti: The Hacker News.