IBM сообщила о двух критических уязвимостях в Langflow: удалённый злоумышленник без учётной записи может обойти аутентификацию или выполнить произвольный код на сервере. Под угрозой все версии от 1.0.0 до 1.12.8 включительно. Исправление выпущено в Langflow 1.13.0; временного обходного решения для тех, кто пока не может обновиться, IBM не предложила.
Langflow — открытый инструмент для создания ИИ-агентов и рабочих процессов. Сообщения об уязвимостях в нём направляют IBM. С помощью протокола Model Context Protocol (MCP) Langflow может предоставлять свои рабочие процессы как инструменты приложениям с поддержкой MCP.
Бюллетень IBM впервые появился 28 октября и был обновлён на следующий день. В нём перечислены четыре уязвимости: CVE-2026-93680 с оценкой 9,8 по CVSS позволяет обходить ограничения безопасности из-за недостаточной аутентификации; CVE-2026-110186, также оценённая в 9,8, даёт возможность запускать произвольный код из-за ненадлежащего контроля генерации кода. Для эксплуатации этих двух критических ошибок учётная запись не нужна.
Две другие ошибки требуют входа в систему. CVE-2026-110193 получила 8,8 балла: пользователь с низкими привилегиями может заставить Agentic Assistant сгенерировать или отправить код компонента, который выполнит команды операционной системы на сервере. CVE-2026-110192 оценена в 6,5 балла и может привести к утечке конфиденциальных данных из-за недостаточной защиты учётных данных.
Одну из критических ошибок IBM описала как «удалённое выполнение кода без аутентификации, доступное через перечисление инструментов протокола Model Context Protocol». При этом на 30 октября ни одна из двух критических уязвимостей не значилась в каталоге известных эксплуатируемых уязвимостей CISA (KEV). В каталоге были указаны шесть других ошибок Langflow; последней добавили CVE-2026-9198 — в августе.
В Metasploit Framework появился общедоступный модуль для CVE-2026-93680, связанной с обходом аутентификации. Он подключается к MCP-узлу Langflow без учётных данных, открывает сессию и перечисляет инструменты, доступные на сервере. Сам по себе модуль не запускает код и команды. Его автор указывает затронутый диапазон от Langflow 1.5.0 до 1.11.4, тогда как IBM относит к уязвимым все версии от 1.0.0 до 1.12.8. Модуль проверяли на Langflow 1.8.4 с включённым автоматическим входом.
При включённом автоматическом входе Langflow авторизует пользователя как суперпользователя, не требуя входа. Параметр LANGFLOW_AUTO_LOGIN по умолчанию включён в версии 1.12.8. В описании настройки прямо предупреждается: она «обходит аутентификацию и должна использоваться только в средах разработки». Ещё одну ошибку IBM назвала «неполным исправлением механизма безопасности автоматического входа». В бюллетене не уточняется, уязвимы ли серверы, на которых автоматический вход отключён.
Langflow 1.13.0 вышла 22 октября. Выпущенная в тот же день версия 1.12.8 уязвимости сохраняет; по состоянию на 2 ноября PyPI не показывал более позднего релиза ветки 1.12. Перед обновлением следует сохранить базу данных, секретный ключ и загруженные файлы. Если используется автоматический вход, нужно подготовить существующую учётную запись для входа по паролю, следуя инструкции Langflow.
Обновить Python-пакет можно командой pip install --upgrade "langflow==1.13.0". Для Docker следует перейти на образ langflowai/langflow:1.13.0 и сохранить постоянные данные развёртывания. Удалять или переустанавливать Langflow ради восстановления доступа нельзя: документация предупреждает, что так можно навсегда потерять рабочие процессы. В версии 1.13.0 автоматический вход по умолчанию отключён.
29 октября IBM опубликовала записи ещё о 29 уязвимостях Langflow и указала версии 1.12.4 и 1.12.5 как исправленные. Среди них CVE-2026-104339: она тоже может позволить злоумышленнику без учётной записи выполнить произвольный код и имеет оценку 9,8. Ни одна из 33 записей — четырёх из бюллетеня и 29 дополнительных — не указывает Langflow 1.13.0 как уязвимую версию.
Langflow — открытый инструмент для создания ИИ-агентов и рабочих процессов. Сообщения об уязвимостях в нём направляют IBM. С помощью протокола Model Context Protocol (MCP) Langflow может предоставлять свои рабочие процессы как инструменты приложениям с поддержкой MCP.
Бюллетень IBM впервые появился 28 октября и был обновлён на следующий день. В нём перечислены четыре уязвимости: CVE-2026-93680 с оценкой 9,8 по CVSS позволяет обходить ограничения безопасности из-за недостаточной аутентификации; CVE-2026-110186, также оценённая в 9,8, даёт возможность запускать произвольный код из-за ненадлежащего контроля генерации кода. Для эксплуатации этих двух критических ошибок учётная запись не нужна.
Две другие ошибки требуют входа в систему. CVE-2026-110193 получила 8,8 балла: пользователь с низкими привилегиями может заставить Agentic Assistant сгенерировать или отправить код компонента, который выполнит команды операционной системы на сервере. CVE-2026-110192 оценена в 6,5 балла и может привести к утечке конфиденциальных данных из-за недостаточной защиты учётных данных.
Одну из критических ошибок IBM описала как «удалённое выполнение кода без аутентификации, доступное через перечисление инструментов протокола Model Context Protocol». При этом на 30 октября ни одна из двух критических уязвимостей не значилась в каталоге известных эксплуатируемых уязвимостей CISA (KEV). В каталоге были указаны шесть других ошибок Langflow; последней добавили CVE-2026-9198 — в августе.
В Metasploit Framework появился общедоступный модуль для CVE-2026-93680, связанной с обходом аутентификации. Он подключается к MCP-узлу Langflow без учётных данных, открывает сессию и перечисляет инструменты, доступные на сервере. Сам по себе модуль не запускает код и команды. Его автор указывает затронутый диапазон от Langflow 1.5.0 до 1.11.4, тогда как IBM относит к уязвимым все версии от 1.0.0 до 1.12.8. Модуль проверяли на Langflow 1.8.4 с включённым автоматическим входом.
При включённом автоматическом входе Langflow авторизует пользователя как суперпользователя, не требуя входа. Параметр LANGFLOW_AUTO_LOGIN по умолчанию включён в версии 1.12.8. В описании настройки прямо предупреждается: она «обходит аутентификацию и должна использоваться только в средах разработки». Ещё одну ошибку IBM назвала «неполным исправлением механизма безопасности автоматического входа». В бюллетене не уточняется, уязвимы ли серверы, на которых автоматический вход отключён.
Langflow 1.13.0 вышла 22 октября. Выпущенная в тот же день версия 1.12.8 уязвимости сохраняет; по состоянию на 2 ноября PyPI не показывал более позднего релиза ветки 1.12. Перед обновлением следует сохранить базу данных, секретный ключ и загруженные файлы. Если используется автоматический вход, нужно подготовить существующую учётную запись для входа по паролю, следуя инструкции Langflow.
Обновить Python-пакет можно командой pip install --upgrade "langflow==1.13.0". Для Docker следует перейти на образ langflowai/langflow:1.13.0 и сохранить постоянные данные развёртывания. Удалять или переустанавливать Langflow ради восстановления доступа нельзя: документация предупреждает, что так можно навсегда потерять рабочие процессы. В версии 1.13.0 автоматический вход по умолчанию отключён.
29 октября IBM опубликовала записи ещё о 29 уязвимостях Langflow и указала версии 1.12.4 и 1.12.5 как исправленные. Среди них CVE-2026-104339: она тоже может позволить злоумышленнику без учётной записи выполнить произвольный код и имеет оценку 9,8. Ни одна из 33 записей — четырёх из бюллетеня и 29 дополнительных — не указывает Langflow 1.13.0 как уязвимую версию.
