Langflow 1.13.0 corregge una vulnerabilità di code execution senza authentication
Langflow 1.13.0 è l'unica correzione disponibile per due vulnerabilità critiche che, secondo IBM, potrebbero consentire ad attaccanti remoti privi di account di aggirare l'authentication o eseguire codice arbitrario su un server. Remote code execution significa indurre un altro computer a eseguire istruzioni scelte dall'attaccante. Sono interessate tutte le release di Langflow dalla 1.0.0 alla 1.12.8.
Langflow è un'applicazione open-source per creare agenti e workflow di intelligenza artificiale, e le segnalazioni relative alle sue vulnerabilità sono gestite da IBM. Il bollettino di IBM riguarda quattro vulnerabilità ed è stato pubblicato inizialmente il 28 ottobre, per poi essere aggiornato il giorno successivo. Due hanno ricevuto un punteggio Critical di 9.8 secondo il Common Vulnerability Scoring System (CVSS), una scala standard per valutare la gravità delle falle di sicurezza.
CVE-2026-93680 è una falla di improper authentication che, secondo IBM, potrebbe consentire a un attaccante privo di account di aggirare le restrizioni di sicurezza. Authentication è il processo utilizzato da un sistema per confermare che un utente sia autorizzato ad accedere. CVE-2026-110186, anch'essa valutata 9.8, non richiede un account e potrebbe consentire arbitrary code execution perché Langflow non controlla adeguatamente la generazione del codice.
Le altre due falle richiedono l'accesso a un account. CVE-2026-110193 ha una valutazione High di 8.8 e potrebbe consentire a un utente con privilegi ridotti di fare in modo che Agentic Assistant generi o invii codice di componenti capace di eseguire comandi del sistema operativo sul server. CVE-2026-110192 ha una valutazione Medium di 6.5 e potrebbe esporre informazioni sensibili perché le credentials, ossia le informazioni utilizzate per dimostrare l'identità di un utente, non sono protette in modo sufficiente.
IBM descrive uno dei problemi come una remote code execution senza authentication tramite Model Context Protocol tool enumeration. Model Context Protocol (MCP) è un metodo attraverso il quale Langflow può rendere disponibili i propri flow come tool per applicazioni di intelligenza artificiale compatibili. Tool enumeration significa richiedere al server un elenco dei tool che offre. La formulazione di IBM indica che questo processo può essere utilizzato per sfruttare la debolezza di code execution senza effettuare prima l'accesso.
Un modulo pubblico per Metasploit Framework, una piattaforma per test di sicurezza contenente moduli di test riutilizzabili, fa già riferimento a CVE-2026-93680. Si connette senza credentials all'endpoint MCP di un server Langflow, ossia l'indirizzo di rete tramite il quale un'applicazione riceve le richieste. Il modulo avvia una session e mostra i tool disponibili sul server, ma non esegue comandi né codice. Il suo autore indica come interessate le versioni dalla 1.5.0 alla 1.11.4, un intervallo più ristretto rispetto alla valutazione di IBM, che va dalla 1.0.0 alla 1.12.8.
L'automatic login è una parte importante del problema. Quando è abilitato, Langflow fa accedere gli utenti come superusers, account dotati del massimo livello di controllo, senza richiedere le normali informazioni di accesso. L'impostazione LANGFLOW_AUTO_LOGIN è abilitata per impostazione predefinita in Langflow 1.12.8, sebbene la descrizione nel codice affermi che aggira l'authentication e dovrebbe essere limitata agli ambienti di sviluppo. Il modulo Metasploit è stato testato su Langflow 1.8.4 con l'automatic login abilitato.
IBM definisce un'altra delle quattro vulnerabilità come una correzione incompleta di un controllo di sicurezza dell'automatic login. Tuttavia, il suo bollettino non stabilisce se i deployment con l'automatic login disabilitato rimangano vulnerabili. Gli amministratori non dovrebbero quindi considerare la disattivazione di questa impostazione un'alternativa all'installazione della release corretta, soprattutto perché IBM non fornisce alcun workaround per i sistemi che non possono ancora essere aggiornati.
Langflow 1.13.0 è stato rilasciato il 22 ottobre e modifica l'automatic login in modo che sia disabilitato per impostazione predefinita. La versione 1.12.8 è stata rilasciata lo stesso giorno, ma contiene ancora le falle. Al 2 novembre, Python Package Index (PyPI), il repository online utilizzato per distribuire software Python, non riportava release più recenti nel ramo 1.12.
Prima dell'aggiornamento, gli amministratori dovrebbero eseguire il backup del database di Langflow, della secret key e dei file caricati. I deployment che utilizzano attualmente l'automatic login devono preparare l'account esistente per l'accesso tramite password seguendo le istruzioni di aggiornamento di Langflow. Le installazioni effettuate tramite pacchetto Python possono essere aggiornate con pip install --upgrade "langflow==1.13.0", dove pip è il tool utilizzato per installare pacchetti Python. I deployment Docker dovrebbero passare all'image langflowai/langflow:1.13.0 mantenendo i propri persistent data, ossia le informazioni conservate quando un software container viene sostituito.
Se dopo l'aggiornamento l'accesso non riesce, gli amministratori dovrebbero utilizzare la procedura di recovery indicata nelle stesse istruzioni di aggiornamento. La documentazione di Langflow avverte di non eliminare o reinstallare l'applicazione semplicemente per recuperare l'accesso, perché ciò può rimuovere definitivamente i flow salvati.
All'aggiornamento del 30 ottobre del Known Exploited Vulnerabilities catalog della Cybersecurity and Infrastructure Security Agency statunitense, nessuna delle due falle critiche compariva nell'elenco dei problemi di sicurezza di cui è noto lo sfruttamento. Sono elencate altre sei falle di Langflow, tra cui CVE-2026-9198, aggiunta ad agosto. L'assenza da tale catalogo non modifica le valutazioni Critical di IBM né la necessità di effettuare l'aggiornamento.
Il 29 ottobre IBM ha inoltre pubblicato record relativi ad altre 29 vulnerabilità di Langflow, indicando le versioni 1.12.4 e 1.12.5 come relative correzioni. Una di queste, CVE-2026-104339, è un'altra falla con valutazione 9.8 che potrebbe consentire a un attaccante senza authentication di eseguire codice arbitrario. Nessuno dei 33 record, inclusi i quattro del bollettino successivo, indica Langflow 1.13.0 come versione interessata.
Per le organizzazioni che valutano la sicurezza dei sistemi che ospitano applicazioni come Langflow, AEU-I fornisce servizi IT, infrastrutturali e di consulenza con un approccio security-first. L'azione immediata per i deployment Langflow interessati rimane un aggiornamento attento alla versione 1.13.0, preceduto da un backup.