Langflow 严重漏洞可让未认证攻击者在服务器上运行代码

IBM 上周表示，Langflow 中的两个严重漏洞可让无账户的远程攻击者绕过身份验证或在服务器上运行任意代码。

Langflow 是一个用于构建 AI 智能体和工作流的开源工具，其漏洞报告提交给 IBM。从 1.0.0 到 1.12.8 的每个版本都存在这些漏洞，唯一的修复版本是 1.13.0。

截至 10 月 30 日的目录更新，这两个漏洞均未列入 CISA 的已知被利用漏洞目录。该目录中列有另外六个 Langflow 漏洞，最近的是 8 月加入的 CVE-2026-9198。

IBM 公告（首次发布于 10 月 28 日，次日更新）中的四个 Langflow 漏洞如下：

CVE | CVSS 评分（IBM） | 是否需要账户 | IBM 称其可能导致
CVE-2026-93680 | 9.8（严重） | 否 | 因身份验证不当而绕过安全限制
CVE-2026-110186 | 9.8（严重） | 否 | 因代码生成控制不当而运行任意代码
CVE-2026-110193 | 8.8（高） | 是，低权限账户 | 使 Agentic Assistant 生成或提交在服务器上运行操作系统命令的组件代码
CVE-2026-110192 | 6.5（中） | 是 | 从保护不足的凭据中获取敏感信息

据 IBM 称，其中一个漏洞是 "可通过模型上下文协议（MCP）工具枚举利用的未认证远程代码执行"。通过 Model Context Protocol（MCP），Langflow 可将其流程作为工具提供给支持 MCP 的 AI 应用。

公开的 Metasploit Framework 中已有一个模块引用了 CVE-2026-93680（身份验证绕过）。它在无凭据的情况下连接到 Langflow 服务器的 MCP 端点，启动会话并列出服务器提供的工具。它不会在服务器上运行代码或命令。

其作者将 Langflow 1.5.0 至 1.11.4 列为受影响版本，范围比 IBM 的更窄。

当启用自动登录时，Langflow 会在不提示用户登录的情况下以超级用户身份登录。在 Langflow 1.12.8 中，设置 LANGFLOW_AUTO_LOGIN 默认启用。其代码描述警告称，它 "绕过身份验证，应仅在开发环境中使用"。

该模块在开启自动登录的 Langflow 1.8.4 上进行了测试。据 IBM 称，四个漏洞中的另一个是 "对自动登录安全控制的不完整修复"。公告未说明关闭自动登录的服务器是否存在漏洞。

升级到 1.13.0

Langflow 1.13.0 于 10 月 22 日发布。同日发布的 1.12.8 版本仍存在这些漏洞，截至 11 月 2 日 PyPI 未列出任何更晚的 1.12 版本。对于尚无法升级的服务器，IBM 未提供变通方案。

Langflow 1.13 默认关闭自动登录。升级方法：

备份数据库、密钥和上传的文件。

如果服务器使用自动登录，请按 Langflow 的升级指南所述，为现有账户准备密码登录。

使用 pip install --upgrade "langflow==1.13.0" 升级 Python 包。对于 Docker，切换到 langflowai/langflow:1.13.0 镜像并保留部署的持久化数据。

如果升级后无法登录，请遵循同一指南链接的恢复步骤。不要删除或重装 Langflow 以恢复访问，因为 Langflow 的文档警告这可能会永久删除你的流程。

10 月 29 日，IBM 还发布了另外 29 个 Langflow 漏洞的 CVE 记录，并将 1.12.4 和 1.12.5 版本列为其修复版本。其中之一 CVE-2026-104339 也可让无账户的攻击者运行任意代码，IBM 将其评为 9.8。这 33 条记录（包括这四个）均未将 1.13.0 列为受影响版本。