В Langflow — открытом инструменте для сборки ИИ-агентов и рабочих процессов — нашли четыре уязвимости, две из которых критические. По оценке IBM, куда поступают отчёты об уязвимостях Langflow, атакующий без учётной записи может обойти аутентификацию или выполнить произвольный код на сервере. Проблемы есть во всех выпусках с 1.0.0 по 1.12.8, исправление одно — обновление до 1.13.0.
Что именно нашли
IBM опубликовала бюллетень 28 октября и обновила его на следующий день. В нём четыре записи:
| CVE | CVSS (IBM) | Нужен аккаунт | Что позволяет |
|---|---|---|---|
| CVE-2026-93680 | 9.8 | Нет | Обход ограничений безопасности из-за некорректной аутентификации |
| CVE-2026-110186 | 9.8 | Нет | Выполнение произвольного кода из-за некорректного контроля генерации кода |
| CVE-2026-110193 | 8.8 | Да, с низкими привилегиями | Заставить Agentic Assistant сгенерировать или отправить код компонента, который выполняет команды ОС на сервере |
| CVE-2026-110192 | 6.5 | Да | Получить чувствительные данные из недостаточно защищённых учётных данных |
Одна из дыр, по формулировке IBM, — «удалённое выполнение кода без аутентификации, эксплуатируемое через перечисление инструментов Model Context Protocol». Через MCP Langflow умеет отдавать свои потоки как инструменты ИИ-приложениям, которые поддерживают этот протокол.
Публичный модуль Metasploit уже ссылается на обход входа
В публичном Metasploit Framework есть модуль, который упоминает CVE-2026-93680 — обход аутентификации. Он подключается к MCP-эндпоинту сервера Langflow без учётных данных, открывает сессию и перечисляет инструменты, которые сервер предлагает. Код и команды на сервере модуль не выполняет.
Автор модуля указывает затронутыми версии с 1.5.0 по 1.11.4 — диапазон уже, чем у IBM. Тестировал он модуль на Langflow 1.8.4 с включённым автоматическим входом.
Автоматический вход по умолчанию — корень проблемы
Когда автоматический вход включён, Langflow пускает пользователей как суперпользователей, не спрашивая логин. Настройка LANGFLOW_AUTO_LOGIN включена по умолчанию в Langflow 1.12.8, а в описании её кода прямо предупреждают: она «обходит аутентификацию и должна использоваться только в средах разработки».
Ещё одна из четырёх дыр, по оценке IBM, — «неполное устранение последствий механизма автоматического входа». Есть ли риск у серверов с выключенным автоматическим входом, в бюллетене не сказано.
Как обновиться до 1.13.0
Langflow 1.13.0 вышел 22 октября. Выпуск 1.12.8, вышедший в тот же день, уязвимости всё ещё содержит, и более поздних релизов ветки 1.12 в PyPI на 2 ноября нет. Обходного пути для серверов, которые пока не могут обновиться, IBM не предлагает.
В 1.13 автоматический вход выключен по умолчанию. Порядок обновления такой:
- Сделайте резервную копию базы данных, секретного ключа и загруженных файлов.
- Если на сервере используется автоматический вход, подготовьте существующую учётную запись ко входу по паролю — так, как описано в руководстве Langflow по обновлению.
- Обновите Python-пакет командой:
pip install --upgrade "langflow==1.13.0"
Для Docker перейдите на образ langflowai/langflow:1.13.0, сохранив постоянные данные развёртывания.
Если после обновления войти не удаётся, выполните шаги восстановления, на которые ссылается то же руководство. Не удаляйте и не переустанавливайте Langflow, чтобы вернуть доступ: документация предупреждает, что так можно безвозвратно потерять свои потоки.
Что ещё всплыло в тот же день
29 октября IBM опубликовала записи CVE ещё о 29 уязвимостях Langflow и указала исправляющими версии 1.12.4 и 1.12.5. Одна из них, CVE-2026-104339, тоже позволяет атакующему без аккаунта выполнить произвольный код, и IBM оценивает её в 9.8. Ни в одной из 33 записей, включая эти четыре, версия 1.13.0 не значится затронутой.
Ни одну из новых дыр на момент обновления каталога 30 октября не внесли в каталог известных эксплуатируемых уязвимостей CISA. При этом в каталоге уже числятся шесть других уязвимостей Langflow — последняя, CVE-2026-9198, добавлена в августе. То есть Langflow для атакующих не экзотика, и свежие дыры стоит закрывать, не дожидаясь появления в каталоге.
Кому это важно в первую очередь
Langflow — Python-инструмент, который разворачивают и в Docker, и на обычных серверах, часто в связке с внутренними ИИ-сервисами. Если экземпляр Langflow смотрит в интернет или доступен из общей сети, а автоматический вход не выключен вручную, обход аутентификации не требует ни логина, ни пароля. Проверьте значение LANGFLOW_AUTO_LOGIN в конфигурации и журналы MCP-сессий: перечисление инструментов без учётных данных — характерный след проверки модулем Metasploit.
Смежные истории про критические дыры с обходом аутентификации разбирались и раньше: например, уязвимость в GraphQL у GitLab и SQL-инъекция в Arista VeloCloud Orchestrator. Общий принцип один: если сервис отдаёт наружу API без проверки входа, обновление — единственная надёжная мера.
Частые вопросы
Кого касается эта новость?
Всех, кто развернул Langflow версий с 1.0.0 по 1.12.8 — на сервере, в Docker или в тестовом контуре, к которому есть сетевой доступ. Особенно если автоматический вход не выключали вручную.
Как проверить свою версию?
Посмотрите установленную версию пакета (pip show langflow) или тег образа Docker. Если номер попадает в диапазон 1.0.0–1.12.8, экземпляр уязвим.
Обязательно ли обновляться до 1.13.0?
Да, это единственная версия с исправлением. Выпуск 1.12.8, вышедший в тот же день, что и 1.13.0, уязвимости всё ещё содержит, а более поздних релизов ветки 1.12 в PyPI на 2 ноября нет.
Есть ли обходной путь, если обновиться пока нельзя?
IBM обходного пути не предлагает. Единственное, что можно сделать своими силами, — выключить автоматический вход и ограничить сетевой доступ к экземпляру, но это не заменяет патч.
Что будет, если после обновления не пускает в систему?
В руководстве Langflow по обновлению есть шаги восстановления. Удалять или переустанавливать Langflow нельзя: документация предупреждает, что так можно безвозвратно потерять потоки.
Уже есть эксплойт?
В публичном Metasploit Framework есть модуль, который ссылается на CVE-2026-93680. Он подключается к MCP-эндпоинту без учётных данных и перечисляет инструменты сервера, но код и команды не выполняет.
Это уже используют в реальных атаках?
На момент обновления каталога CISA 30 октября ни одну из новых дыр в каталог известных эксплуатируемых уязвимостей не внесли. При этом шесть других уязвимостей Langflow там уже числятся.
Что ещё нашли в Langflow?
29 октября IBM опубликовала записи CVE ещё о 29 уязвимостях и указала исправляющими версии 1.12.4 и 1.12.5. Среди них CVE-2026-104339 с оценкой 9.8, тоже позволяющая выполнить код без аккаунта.
Источник: thehackernews.com