Langflow OSS — популярный инструмент с открытым исходным кодом для построения AI-агентов и рабочих процессов — содержит четыре уязвимости, две из которых позволяют удалённому злоумышленнику без учётной записи обойти аутентификацию или выполнить произвольный код на сервере. Согласно бюллетеню безопасности IBM, опубликованному 28 октября 2026 года, затронуты все версии с 1.0.0 по 1.12.8. Единственное исправление — обновление до версии 1.13.0. Промежуточных обходных решений IBM не предлагает, что делает обновление безотлагательным для всех операторов Langflow.
Детали уязвимостей
Бюллетень IBM описывает четыре уязвимости с различными векторами атаки и уровнями критичности:
- CVE-2026-93680 (CVSS 9.8, IBM) — обход аутентификации (CWE-287). Позволяет удалённому злоумышленнику обойти ограничения безопасности из-за некорректной аутентификации.
- CVE-2026-110186 (CVSS 9.8, IBM) — выполнение произвольного кода без аутентификации (CWE-94). По данным IBM, эксплуатация возможна через перечисление инструментов Model Context Protocol (MCP) — протокола, через который Langflow предоставляет свои потоки в качестве инструментов для AI-приложений.
- CVE-2026-110193 (CVSS 8.8, IBM) — выполнение команд ОС (CWE-94). Требует аутентификации с минимальными привилегиями: злоумышленник может заставить встроенного AI-ассистента Langflow сгенерировать или отправить компонентный код, приводящий к выполнению произвольных команд операционной системы.
- CVE-2026-110192 (CVSS 6.5, IBM) — раскрытие конфиденциальной информации (CWE-522). Аутентифицированный злоумышленник может получить чувствительные данные из-за недостаточной защиты учётных данных.
Публичный эксплойт и расхождение в охвате версий
Для CVE-2026-93680 уже существует публичный модуль в Metasploit Framework. Модуль подключается к конечной точке MCP SSE сервера Langflow без учётных данных, инициализирует сессию и извлекает список доступных инструментов. Модуль не выполняет произвольный код и не запускает команды на сервере, однако демонстрирует практическую эксплуатируемость обхода аутентификации. По имеющимся данным, подтверждённой эксплуатации этих уязвимостей в реальных атаках пока не зафиксировано — ни одна из четырёх CVE не внесена в каталог CISA KEV по состоянию на 30 октября 2026 года.
Существенная деталь: автор модуля Metasploit указывает диапазон затронутых версий как 1.5.0–1.11.4, тогда как IBM определяет его шире — 1.0.0–1.12.8. Это расхождение остаётся неразрешённым: диапазон Rapid7 относится к конкретному модулю и не опровергает более широкий охват, заявленный IBM в рамках продуктового бюллетеня.
Роль автоматического входа в оценке риска
Реальная степень подверженности зависит не только от версии, но и от конфигурации аутентификации. Анализ исходного кода Langflow 1.12.8 показывает, что параметр LANGFLOW_AUTO_LOGIN включён по умолчанию. При активном автоматическом входе система авторизует пользователей как суперпользователей без запроса учётных данных. Сам код содержит предупреждение: эта функция «обходит аутентификацию и должна использоваться только в средах разработки». Модуль Metasploit тестировался именно на Langflow 1.8.4 с включённым автоматическим входом. При этом IBM не уточняет, уязвимы ли серверы с отключённым автоматическим входом.
Langflow 1.13.0, выпущенный 22 октября 2026 года, отключает автоматический вход по умолчанию. Это означает, что при обновлении с версий, где автоматический вход был активен, потребуется подготовить существующую учётную запись для входа по паролю — иначе доступ к системе после обновления будет потерян.
Рекомендации по обновлению
IBM не предоставляет промежуточных обходных решений — единственная рекомендация заключается в обновлении до версии 1.13.0. Порядок действий, согласно документации Langflow и бюллетеню IBM:
- Создайте резервную копию базы данных, секретного ключа и загруженных файлов.
- Если сервер использует автоматический вход, подготовьте существующую учётную запись для входа по паролю до обновления.
- Обновите пакет Python:
pip install --upgrade "langflow==1.13.0". Для Docker — перейдите на образlangflowai/langflow:1.13.0, сохранив постоянные данные развёртывания. - Если после обновления вход невозможен, используйте процедуру восстановления из документации. Не удаляйте и не переустанавливайте Langflow — это может привести к необратимой потере рабочих процессов.
Для обнаружения возможных попыток эксплуатации стоит проверить журналы доступа и приложения на наличие неаутентифицированных запросов к конечной точке MCP SSE и последующей инициализации MCP-сессий — именно этот вектор использует публичный модуль Metasploit.
Более широкий контекст уязвимостей Langflow
Текущий бюллетень — не единственный. 29 октября IBM также опубликовала записи CVE для 29 дополнительных уязвимостей Langflow, исправленных в версиях 1.12.4 и 1.12.5. Среди них — CVE-2026-104339 с оценкой CVSS 9.8, также позволяющая неаутентифицированному злоумышленнику выполнять произвольный код. Эта уязвимость затрагивает версии 1.0.0–1.12.3 и исправлена в 1.12.4. Ни одна из 33 CVE-записей не указывает версию 1.13.0 как уязвимую.
Ранее мы уже писали об уязвимости Langflow CVE-2026-9198, которая была добавлена в каталог CISA KEV в августе 2026 года. Текущие четыре уязвимости в каталог KEV пока не внесены, однако наличие публичного эксплойта для CVE-2026-93680 и отсутствие обходных решений повышают приоритет реагирования.
Организациям, использующим Langflow OSS, следует немедленно обновиться до версии 1.13.0, предварительно выполнив резервное копирование и подготовку учётных записей. Отслеживание патчей для Langflow требует внимания к нескольким бюллетеням IBM одновременно: если ваша установка работает на версии ниже 1.12.4, она подвержена ещё и отдельной критической RCE-уязвимости CVE-2026-104339, и простого обновления до промежуточной версии недостаточно — необходим переход сразу на 1.13.0.
