Уязвимости в Langflow позволяют запустить код на сервере без учётной записи
Изображение: OpenAI
В Langflow, инструменте для создания ИИ-агентов, обнаружили две критические уязвимости. С их помощью злоумышленник без учётной записи может обойти аутентификацию или выполнить произвольный код на сервере, говорится в бюллетене IBM. Затронуты все версии с 1.0.0 по 1.12.8 включительно; исправление есть только в 1.13.0.
Для обхода аутентификации CVE-2026-93680 уже есть публичный модуль Metasploit, сообщает The Hacker News. Он открывает сессию по протоколу MCP без учётных данных и получает список инструментов сервера, но не выполняет код или команды. Через MCP Langflow может предлагать свои потоки как инструменты ИИ-приложениям, которые поддерживают этот протокол. Автор модуля указывает более узкий диапазон уязвимых версий: 1.5.0–1.11.4. При этом одну из уязвимостей авторы бюллетеня описывают как удалённое выполнение кода без аутентификации через запрос списка инструментов по MCP.
Модуль проверили на Langflow 1.8.4 с включённым автоматическим входом. Этот режим даёт пользователям права суперпользователя без запроса учётных данных и включён по умолчанию в 1.12.8. В описании настройки в коде сказано, что она обходит аутентификацию и использовать её следует только при разработке. Всего бюллетень описывает четыре уязвимости; одна связана с неполным исправлением механизма автоматического входа. Уязвимы ли серверы с отключённым режимом, в бюллетене не уточняется.
На 30 октября ни одна из двух критических уязвимостей не значилась в каталоге CISA, куда включают уязвимости, которые уже используют в атаках. При этом в каталоге есть шесть других уязвимостей Langflow; последней в августе добавили CVE-2026-9198.
Версия 1.13.0 вышла 22 октября и отключает автоматический вход по умолчанию. Перед обновлением нужно сделать резервную копию данных, а при включённом автоматическом входе подготовить существующую учётную запись ко входу по паролю. Если после обновления войти не удастся, следует воспользоваться инструкцией Langflow по восстановлению доступа. Удаление или переустановка могут безвозвратно уничтожить потоки. Выпущенная в тот же день 1.12.8 остаётся уязвимой. Авторы бюллетеня не предлагают временных мер защиты тем, кто пока не может обновиться.
29 октября авторы бюллетеня также опубликовали сведения о 29 других уязвимостях Langflow. Исправления для них вышли в версиях 1.12.4 и 1.12.5. Среди них CVE-2026-104339 с оценкой 9,8, которая тоже позволяет выполнить произвольный код без учётной записи.
