IBM revela cuatro vulnerabilidades en Langflow: dos con puntuación CVSS 9.8 permiten ejecutar código sin autenticación

Langflow OSS, una herramienta de código abierto muy popular para crear agentes de IA y flujos de trabajo, contiene cuatro vulnerabilidades, dos de las cuales permiten a un atacante remoto sin cuenta omitir la autenticación o ejecutar código arbitrario en el servidor. Según el aviso de seguridad de IBM publicado el 28 de octubre de 2026, se ven afectadas todas las versiones desde la 1.0.0 hasta la 1.12.8. La única corrección es actualizar a la versión 1.13.0. IBM no propone soluciones temporales intermedias, lo que hace que la actualización sea urgente para todos los operadores de Langflow.

Detalles de las vulnerabilidades

El aviso de IBM describe cuatro vulnerabilidades con distintos vectores de ataque y niveles de criticidad:

• CVE-2026-93680 (CVSS 9.8, IBM): omisión de autenticación (CWE-287). Permite a un atacante remoto eludir las restricciones de seguridad debido a una autenticación incorrecta.
• CVE-2026-110186 (CVSS 9.8, IBM): ejecución de código arbitrario sin autenticación (CWE-94). Según IBM, la explotación es posible a través del enumerado de herramientas de Model Context Protocol (MCP), el protocolo mediante el cual Langflow expone sus flujos como herramientas para aplicaciones de IA.
• CVE-2026-110193 (CVSS 8.8, IBM): ejecución de comandos del sistema operativo (CWE-94). Requiere autenticación con privilegios mínimos: el atacante puede hacer que el asistente de IA integrado en Langflow genere o envíe código de componentes que desemboque en la ejecución de comandos arbitrarios del sistema operativo.
• CVE-2026-110192 (CVSS 6.5, IBM): divulgación de información confidencial (CWE-522). Un atacante autenticado puede obtener datos sensibles debido a una protección insuficiente de las credenciales.

Exploit público y discrepancias en el rango de versiones afectadas

Para CVE-2026-93680 ya existe un módulo público en el Metasploit Framework. El módulo se conecta al endpoint MCP SSE del servidor Langflow sin credenciales, inicia una sesión y extrae la lista de herramientas disponibles. El módulo no ejecuta código arbitrario ni lanza comandos en el servidor, pero demuestra en la práctica que la omisión de autenticación es explotable. Según los datos disponibles, todavía no se ha registrado explotación confirmada de estas vulnerabilidades en ataques reales: ninguna de las cuatro CVE figura en el catálogo CISA KEV a fecha de 30 de octubre de 2026.

Un detalle importante: el autor del módulo de Metasploit indica el rango de versiones afectadas como 1.5.0–1.11.4, mientras que IBM lo define de forma más amplia, 1.0.0–1.12.8. Esta discrepancia sigue sin resolverse: el rango de Rapid7 se refiere a un módulo concreto y no invalida el alcance más amplio declarado por IBM en el marco del aviso de producto.

Papel del inicio de sesión automático en la evaluación del riesgo

El grado real de exposición depende no solo de la versión, sino también de la configuración de autenticación. El análisis del código fuente de Langflow 1.12.8 muestra que el parámetro LANGFLOW_AUTO_LOGIN está activado por defecto. Con el inicio de sesión automático activo, el sistema autoriza a los usuarios como superusuarios sin solicitar credenciales. El propio código contiene una advertencia: esta función «omite la autenticación y solo debe utilizarse en entornos de desarrollo». El módulo de Metasploit se probó precisamente en Langflow 1.8.4 con el inicio de sesión automático activado. Sin embargo, IBM no aclara si los servidores con el inicio de sesión automático desactivado siguen siendo vulnerables.

Langflow 1.13.0, publicado el 22 de octubre de 2026, desactiva el inicio de sesión automático por defecto. Esto significa que, al actualizar desde versiones en las que el inicio de sesión automático estaba activo, será necesario preparar una cuenta existente para iniciar sesión con contraseña; de lo contrario, tras la actualización se perderá el acceso al sistema.

Recomendaciones de actualización

IBM no ofrece soluciones temporales intermedias; la única recomendación es actualizar a la versión 1.13.0. El procedimiento, según la documentación de Langflow y el aviso de IBM, es el siguiente:

1. Cree una copia de seguridad de la base de datos, la clave secreta y los archivos cargados.
2. Si el servidor utiliza inicio de sesión automático, prepare una cuenta existente para iniciar sesión mediante contraseña antes de la actualización.
3. Actualice el paquete de Python: pip install --upgrade "langflow==1.13.0". Para Docker, cambie a la imagen langflowai/langflow:1.13.0, conservando los datos persistentes del despliegue.
4. Si tras la actualización no es posible iniciar sesión, utilice el procedimiento de recuperación descrito en la documentación. No elimine ni reinstale Langflow, ya que esto puede provocar una pérdida irreversible de los flujos de trabajo.

Para detectar posibles intentos de explotación, conviene revisar los registros de acceso y de la aplicación en busca de solicitudes no autenticadas al endpoint MCP SSE y de la posterior inicialización de sesiones MCP, que es precisamente el vector que utiliza el módulo público de Metasploit.

Contexto más amplio de las vulnerabilidades en Langflow

El aviso actual no es el único. El 29 de octubre IBM también publicó entradas CVE para otras 29 vulnerabilidades de Langflow corregidas en las versiones 1.12.4 y 1.12.5. Entre ellas se encuentra CVE-2026-104339, con una puntuación CVSS de 9.8, que también permite a un atacante no autenticado ejecutar código arbitrario. Esta vulnerabilidad afecta a las versiones 1.0.0–1.12.3 y se corrige en la 1.12.4. Ninguna de las 33 entradas CVE señala la versión 1.13.0 como vulnerable.

Anteriormente ya habíamos escrito sobre la vulnerabilidad de Langflow CVE-2026-9198, que se añadió al catálogo CISA KEV en agosto de 2026. Las cuatro vulnerabilidades actuales aún no se han incluido en el catálogo KEV, pero la existencia de un exploit público para CVE-2026-93680 y la ausencia de soluciones temporales incrementan la prioridad de respuesta.

Las organizaciones que utilizan Langflow OSS deben actualizar inmediatamente a la versión 1.13.0, tras realizar previamente copias de seguridad y preparar las cuentas. El seguimiento de los parches para Langflow requiere prestar atención a varios avisos de IBM al mismo tiempo: si su instalación funciona con una versión inferior a la 1.12.4, también está expuesta a otra vulnerabilidad crítica de ejecución remota de código, CVE-2026-104339, y no basta con actualizar a una versión intermedia; es necesario pasar directamente a la 1.13.0.