Duas vulnerabilidades críticas no Langflow poderiam permitir que invasores remotos sem uma conta contornassem a autenticação ou executassem código arbitrário, segundo um boletim da IBM publicado em 28 de outubro e atualizado no dia seguinte.
O Langflow é uma plataforma de código aberto para criar agentes e fluxos de trabalho de IA, e seus relatórios de vulnerabilidade são enviados à IBM. O intervalo afetado abrange todas as versões da 1.0.0 à 1.12.8. A IBM identifica a versão 1.13.0 como a correção.
CVE-2026-93680 e CVE-2026-110186 receberam da IBM a classificação 9.8, ou crítica, e não exigem uma conta. A primeira poderia permitir que invasores contornassem restrições de segurança por meio de autenticação inadequada, enquanto a segunda poderia possibilitar a execução de código arbitrário devido ao controle insuficiente sobre a geração de código.
A IBM também listou duas vulnerabilidades adicionais do Langflow. A CVE-2026-110193 recebeu a classificação 8.8 e exige uma conta com poucos privilégios; ela poderia permitir que o Agentic Assistant gerasse ou enviasse código de componentes que executa comandos do sistema operacional no servidor. A CVE-2026-110192 tem classificação 6.5 e poderia expor informações confidenciais por meio de credenciais protegidas de forma insuficiente.
Uma das questões críticas envolve a execução remota de código não autenticada por meio da enumeração de ferramentas do Model Context Protocol. O Langflow pode expor seus fluxos como ferramentas para aplicações de IA compatíveis com MCP.
Um módulo do Metasploit Framework já faz referência à CVE-2026-93680. Ele se conecta ao endpoint MCP de um servidor Langflow sem credenciais, inicia uma sessão e lista as ferramentas disponíveis, mas não executa código nem comandos. O módulo identifica as versões de 1.5.0 a 1.11.4 como afetadas, um intervalo mais restrito que o citado pela IBM.
Os relatórios também dizem respeito ao recurso de login automático do Langflow. Quando ativada, a configuração conecta os usuários como superusuários sem solicitar credenciais. Na versão 1.12.8, LANGFLOW_AUTO_LOGIN está ativada por padrão, e seu código alerta que a opção contorna a autenticação e deve ser usada apenas em ambientes de desenvolvimento. A IBM descreve outra questão como uma correção incompleta para um controle de segurança de login automático, mas não especifica se os sistemas com o recurso desativado continuam vulneráveis.
O Langflow 1.13.0 foi lançado em 22 de outubro e desativa o login automático por padrão. A IBM não fornece uma solução alternativa para instalações que não podem ser atualizadas. Os administradores devem fazer backup do banco de dados, da chave secreta e dos arquivos enviados antes da atualização. As implantações que usam login automático também devem preparar a conta existente para o acesso baseado em senha, de acordo com as orientações de atualização do Langflow.
A atualização pode ser realizada com pip usando `pip install --upgrade "langflow==1.13.0"`. As implantações Docker devem usar a imagem `langflowai/langflow:1.13.0`, mantendo os dados persistentes. O Langflow alerta contra a exclusão ou reinstalação da aplicação para recuperar o acesso após uma atualização, pois isso poderia remover os fluxos permanentemente.
Nenhuma das duas vulnerabilidades críticas aparece no catálogo de Vulnerabilidades Conhecidamente Exploradas da CISA até a atualização de 30 de outubro. O catálogo inclui outras seis vulnerabilidades do Langflow, sendo a mais recente a CVE-2026-9198, adicionada em agosto.
A IBM publicou registros de outras 29 vulnerabilidades do Langflow em 29 de outubro, identificando as versões 1.12.4 e 1.12.5 como correções para esses problemas. Uma delas, a CVE-2026-104339, também recebeu a classificação 9.8 e poderia permitir a execução não autenticada de código arbitrário. Nenhum dos 33 registros listou a versão 1.13.0 como afetada.
Fontes: The Hacker News.