Langflow 1.13.0 behebt unauthenticated code execution
Langflow 1.13.0 ist laut IBM der einzige verfügbare Fix für zwei kritische Schwachstellen, die es Angreifern aus der Ferne ohne Account ermöglichen könnten, authentication zu umgehen oder beliebigen Code auf einem Server auszuführen. remote code execution bedeutet, dass ein anderer Computer dazu gebracht wird, vom Angreifer ausgewählte Anweisungen auszuführen. Betroffen sind alle Langflow-Releases von 1.0.0 bis einschließlich 1.12.8.
Langflow ist eine Open-Source-Anwendung zum Erstellen von Agenten und Workflows für künstliche Intelligenz, und die Berichte über seine Schwachstellen werden von IBM bearbeitet. Das Bulletin von IBM behandelt vier Schwachstellen und wurde erstmals am 28. Oktober veröffentlicht und am folgenden Tag aktualisiert. Zwei erhielten im Common Vulnerability Scoring System (CVSS), einer Standardskala zur Bewertung des Schweregrads von Sicherheitslücken, die Bewertung 9,8 Critical.
CVE-2026-93680 ist eine Schwachstelle aufgrund unsachgemäßer authentication, die es einem Angreifer ohne Account laut IBM ermöglichen könnte, Sicherheitsbeschränkungen zu umgehen. authentication ist der Prozess, mit dem ein System bestätigt, dass sich ein Benutzer anmelden darf. CVE-2026-110186, ebenfalls mit 9,8 bewertet, erfordert keinen Account und könnte arbitrary code execution ermöglichen, weil Langflow die Codegenerierung nicht ausreichend kontrolliert.
Die beiden anderen Schwachstellen erfordern Zugriff auf einen Account. CVE-2026-110193 hat die Bewertung 8,8 High und könnte es einem Benutzer mit geringen Berechtigungen ermöglichen, den Agentic Assistant dazu zu bringen, Component-Code zu generieren oder zu übermitteln, der Betriebssystembefehle auf dem Server ausführt. CVE-2026-110192 ist mit 6,5 Medium bewertet und könnte sensible Informationen offenlegen, weil credentials – die Informationen, mit denen die Identität eines Benutzers nachgewiesen wird – nicht ausreichend geschützt sind.
IBM beschreibt eines der Probleme als unauthenticated remote code execution durch Model Context Protocol tool enumeration. Model Context Protocol (MCP) ist eine Methode, mit der Langflow seine flows kompatiblen KI-Anwendungen als tools zur Verfügung stellen kann. Tool enumeration bedeutet, den Server nach einer Liste der von ihm angebotenen tools zu fragen. Die Formulierung von IBM deutet darauf hin, dass dieser Vorgang dazu verwendet werden kann, die Schwachstelle für code execution auszunutzen, ohne sich zuvor anzumelden.
Ein öffentliches Modul für das Metasploit Framework, eine Plattform für Sicherheitstests mit wiederverwendbaren Testmodulen, verweist bereits auf CVE-2026-93680. Es stellt ohne credentials eine Verbindung zum MCP endpoint eines Langflow-Servers her, also zu der Netzwerkadresse, über die eine Anwendung Anfragen empfängt. Das Modul startet eine session und listet die auf dem Server verfügbaren tools auf, führt jedoch keine Befehle oder keinen Code aus. Sein Autor nennt die Versionen 1.5.0 bis 1.11.4 als betroffen, einen engeren Bereich als die IBM-Einschätzung von 1.0.0 bis 1.12.8.
automatic login ist ein wichtiger Teil des Problems. Wenn diese Funktion aktiviert ist, meldet Langflow Benutzer als superusers an, also als Accounts mit der höchsten Kontrollebene, ohne normale Anmeldedaten abzufragen. Die Einstellung LANGFLOW_AUTO_LOGIN ist in Langflow 1.12.8 standardmäßig aktiviert, obwohl ihre Codebeschreibung besagt, dass sie authentication umgeht und auf Entwicklungsumgebungen beschränkt werden sollte. Das Metasploit-Modul wurde mit Langflow 1.8.4 und aktiviertem automatic login getestet.
IBM beschreibt eine weitere der vier Schwachstellen als unvollständigen Fix für eine Sicherheitskontrolle von automatic login. Das Bulletin stellt jedoch nicht klar, ob Deployments mit deaktiviertem automatic login weiterhin verwundbar sind. Administratoren sollten das Abschalten dieser Einstellung daher nicht als Ersatz für die Installation des korrigierten Releases betrachten, insbesondere weil IBM keinen Workaround für Systeme bereitstellt, die noch nicht aktualisiert werden können.
Langflow 1.13.0 wurde am 22. Oktober veröffentlicht und ändert automatic login so, dass es standardmäßig deaktiviert ist. Version 1.12.8 wurde am selben Tag veröffentlicht, enthält die Schwachstellen jedoch weiterhin. Mit Stand vom 2. November führte der Python Package Index (PyPI), das Online-Repository zur Verteilung von Python-Software, kein neueres Release im 1.12-Zweig auf.
Vor dem Upgrade sollten Administratoren die Langflow-Datenbank, den secret key und hochgeladene Dateien sichern. Deployments, die derzeit automatic login verwenden, müssen den bestehenden Account entsprechend der Upgrade-Anleitung von Langflow für die Anmeldung mit Passwort vorbereiten. Installationen über Python-Pakete können mit pip install --upgrade "langflow==1.13.0" aktualisiert werden, wobei pip das Tool zur Installation von Python-Paketen ist. Docker-Deployments sollten auf das Image langflowai/langflow:1.13.0 umgestellt werden, wobei ihre persistenten Daten erhalten bleiben müssen, also Informationen, die beim Ersetzen eines Software-Containers gespeichert bleiben.
Wenn die Anmeldung nach dem Update fehlschlägt, sollten Administratoren das in derselben Upgrade-Anleitung verlinkte Wiederherstellungsverfahren verwenden. Die Dokumentation von Langflow warnt davor, die Anwendung nur zur Wiederherstellung des Zugriffs zu löschen oder neu zu installieren, da dadurch gespeicherte flows dauerhaft entfernt werden können.
Mit Stand der Aktualisierung des Known Exploited Vulnerabilities catalog der US-amerikanischen Cybersecurity and Infrastructure Security Agency vom 30. Oktober erschien keine der beiden kritischen Schwachstellen in dieser Liste von Sicherheitsproblemen, die nachweislich ausgenutzt wurden. Sechs andere Langflow-Schwachstellen sind dort aufgeführt, darunter CVE-2026-9198, die im August hinzugefügt wurde. Das Fehlen in diesem Katalog ändert weder die Critical-Bewertungen von IBM noch die Notwendigkeit eines Updates.
IBM veröffentlichte am 29. Oktober außerdem Einträge zu 29 weiteren Langflow-Schwachstellen und nannte die Versionen 1.12.4 und 1.12.5 als deren Fixes. Eine davon, CVE-2026-104339, ist eine weitere mit 9,8 bewertete Schwachstelle, die einem Angreifer ohne authentication arbitrary code execution ermöglichen könnte. Keiner der 33 Einträge, einschließlich der vier im späteren Bulletin, führt Langflow 1.13.0 als betroffen auf.
Für Organisationen, die die Sicherheit von Systemen bewerten, auf denen Anwendungen wie Langflow gehostet werden, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an. Die unmittelbar erforderliche Maßnahme für betroffene Langflow-Deployments bleibt ein sorgfältiges, durch Backups abgesichertes Upgrade auf Version 1.13.0.