Langflow: две критические уязвимости в AI-инструменте, обход аутентификации и выполнение кода
IBM сообщила о двух критических уязвимостях в Langflow, открытом инструменте для создания AI-агентов и рабочих процессов. Удалённый атакующий без учётной записи может обойти аутентификацию или выполнить произвольный код на сервере.
Главное в цифрах
- Уязвимые версии Langflow: с 1.0.0 по 1.12.8
- Исправление: Langflow 1.13.0, выпущена 22 октября
- Оценка CVE-2026-104339 по данным IBM: 9,8
- Уязвимостей в бюллетене IBM: четыре; записей CVE опубликовано 33
Уязвимы все версии Langflow с 1.0.0 по 1.12.8. Исправление есть только в версии 1.13.0, которая вышла 22 октября. Версия 1.12.8, выпущенная в тот же день, по-прежнему содержит уязвимости, а на PyPI по состоянию на 2 ноября нет более поздних релизов ветки 1.12.
IBM опубликовала бюллетень 28 октября и обновила его на следующий день. В нём перечислены четыре уязвимости Langflow. Одна из них позволяет выполнить код без аутентификации через перечисление инструментов Model Context Protocol (MCP), с помощью которого Langflow предоставляет свои потоки как инструменты для AI-приложений.
Модуль для Metasploit и автоматический вход
В открытом фреймворке Metasploit уже есть модуль, который использует обход аутентификации CVE-2026-93680. Он подключается к MCP-эндпоинту сервера без учётных данных, открывает сессию и выводит список инструментов сервера. Код и команды на сервере модуль не выполняет. Автор модуля указывает уязвимыми версии с 1.5.0 по 1.11.4, что уже диапазона IBM.
Причина связана с функцией автоматического входа LANGFLOW_AUTO_LOGIN. Когда она включена, Langflow входит в систему как суперпользователь без запроса на вход. В версии 1.12.8 эта настройка включена по умолчанию. Модуль тестировали на Langflow 1.8.4 с включённым автоматическим входом. Ещё одна из четырёх уязвимостей, по данным IBM, связана с неполным исправлением механизма автоматического входа. Бюллетень не уточняет, уязвимы ли серверы с отключённым автоматическим входом.
Что делать администраторам
Langflow 1.13 отключает автоматический вход по умолчанию. Администраторам стоит обновиться до версии 1.13 и проверить, что LANGFLOW_AUTO_LOGIN отключён. IBM не предлагает обходного пути для серверов, которые не могут обновиться сразу.
Эти уязвимости не входят в каталог известных эксплуатируемых уязвимостей CISA, актуальный на 30 октября. В каталоге есть шесть других уязвимостей Langflow, последняя из них CVE-2026-9198 добавлена в августе.
29 октября IBM опубликовала записи CVE ещё для 29 уязвимостей Langflow и указала версии 1.12.4 и 1.12.5 как исправления. Одна из них, CVE-2026-104339, с оценкой 9,8 по данным IBM, также может позволить атакующему без учётной записи выполнить код. Ни в одной из 33 записей версия 1.13.0 не указана как уязвимая.
