Langflow 1.0.0 bis 1.12.8 von zwei kritischen Schwachstellen betroffen
IBM meldete in einem am 28. Oktober veröffentlichten und am folgenden Tag aktualisierten Bulletin zwei kritische Schwachstellen in Langflow. Betroffen sind laut IBM alle Versionen von 1.0.0 bis 1.12.8. Angreifer können die Authentifizierung ohne Konto umgehen oder beliebigen Code aus der Ferne auf dem Server ausführen. IBM nennt Langflow 1.13.0 als einzige Korrektur; die Version erschien am 22. Oktober.
Eine der Schwachstellen ermöglicht laut IBM die Ausführung von Code ohne Authentifizierung über die Aufzählung von Werkzeugen im Model Context Protocol (MCP). Langflow kann seine Flows über MCP als Werkzeuge für KI-Anwendungen anbieten, die MCP unterstützen. Ein öffentliches Modul im Metasploit Framework verweist auf CVE-2026-93680, die Schwachstelle zur Umgehung der Authentifizierung. Das Modul verbindet sich ohne Zugangsdaten mit dem MCP-Endpunkt eines Langflow-Servers, startet eine Sitzung und listet die angebotenen Werkzeuge auf. Nach seiner Beschreibung führt es dabei keinen Code und keine Befehle auf dem Server aus.
Ein Teil der Fehler betrifft laut den vorliegenden Angaben die automatische Anmeldung. Wenn diese Option aktiv ist, meldet Langflow Nutzer ohne weitere Anmeldung als Superuser an. In Version 1.12.8 war LANGFLOW_AUTO_LOGIN standardmäßig aktiviert. IBM beschreibt eine weitere Schwachstelle als unvollständige Behebung dieser Sicherheitskontrolle. Das Bulletin sagt nicht, ob Server mit deaktivierter automatischer Anmeldung ebenfalls verwundbar sind.
Zum Stand der Aktualisierung des CISA-Katalogs vom 30. Oktober waren die beiden Schwachstellen nicht im Katalog der bekannten ausgenutzten Sicherheitslücken enthalten. CISA führt dort sechs andere Langflow-Schwachstellen auf. Zuletzt nahm die Behörde im August CVE-2026-9198 in den Katalog auf. Das Metasploit-Modul und der CISA-Status belegen nicht, ob ein produktives Langflow-System erfolgreich angegriffen wurde.
Die Langflow-Anleitung empfiehlt vor dem Upgrade, die Datenbank, den geheimen Schlüssel und hochgeladene Dateien zu sichern. Für Python nennt sie den Befehl pip install –upgrade "langflow==1.13.0". Bei Docker soll das Image langflowai/langflow:1.13.0 verwendet und die persistenten Daten beibehalten werden. Wer die automatische Anmeldung nutzt, soll das bestehende Konto für die Anmeldung mit Passwort vorbereiten. Langflow warnt davor, die Anwendung zur Wiederherstellung des Zugangs zu löschen oder neu zu installieren, weil dadurch Flows dauerhaft verloren gehen können.
Langflow 1.12.8 erschien am selben Tag wie Version 1.13.0 und enthält die Schwachstellen weiterhin. PyPI führte am 2. November keine spätere Version der Reihe 1.12. Für Systeme, die nicht aktualisiert werden können, nennt IBM keinen Workaround.