Kritische Lücken in Langflow erlauben Codeausführung ohne Anmeldung

Insgesamt führt IBM in seinem Hinweis, der am 28. Oktober erschien und am Folgetag aktualisiert wurde, vier Langflow-Schwachstellen auf. Eine davon beschreibt IBM als „nicht authentifizierte entfernte Codeausführung, ausnutzbar über die Aufzählung von Werkzeugen des Model Context Protocol". Über MCP kann Langflow seine Flows KI-Anwendungen als Werkzeuge anbieten. Eine weitere der vier Lücken ist laut IBM „eine unvollständige Behebung einer Sicherheitskontrolle für die automatische Anmeldung". Ob Server mit abgeschalteter automatischer Anmeldung verwundbar sind, lässt der Hinweis offen.

Im öffentlichen Metasploit Framework existiert bereits ein Modul, das sich auf die Authentifizierungsumgehung CVE-2026-93680 bezieht. Es verbindet sich ohne Zugangsdaten mit dem MCP-Endpunkt eines Langflow-Servers, startet eine Sitzung und listet die angebotenen Werkzeuge auf; Code oder Befehle führt es auf dem Server nicht aus. Der Autor nennt die Versionen 1.5.0 bis 1.11.4 als betroffen — eine engere Spanne als IBM. Getestet wurde das Modul mit Langflow 1.8.4 bei eingeschalteter automatischer Anmeldung.

Ist die automatische Anmeldung aktiv, meldet Langflow Nutzer ohne Abfrage als Superuser an. Die Einstellung LANGFLOW_AUTO_LOGIN ist in Langflow 1.12.8 standardmäßig aktiviert; die Beschreibung im Code warnt, sie „umgeht die Authentifizierung und sollte nur in Entwicklungsumgebungen verwendet werden". In Langflow 1.13 ist die automatische Anmeldung standardmäßig abgeschaltet.

Keine der beiden kritischen Lücken steht im Stand der Aktualisierung vom 30. Oktober im Katalog bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA. Dort sind sechs andere Langflow-Schwachstellen verzeichnet, zuletzt CVE-2026-9198, die im August aufgenommen wurde.

Langflow 1.13.0 erschien am 22. Oktober. Die am selben Tag veröffentlichte Version 1.12.8 enthält die Schwachstellen weiterhin, und PyPI führt zum 2. November keine neuere 1.12-Ausgabe. Für Server, die noch nicht aktualisieren können, nennt IBM keinen Behelf.

Für das Upgrade empfiehlt sich dieses Vorgehen:

• Datenbank, Secret Key und hochgeladene Dateien sichern.
• Nutzt der Server die automatische Anmeldung, das vorhandene Konto gemäß der Langflow-Anleitung für die Anmeldung per Passwort vorbereiten.
• Das Python-Paket mit pip install –upgrade “langflow==1.13.0” aktualisieren; bei Docker auf das Image langflowai/langflow:1.13.0 wechseln und die persistenten Daten der Bereitstellung erhalten.
• Schlägt die Anmeldung nach dem Upgrade fehl, die in derselben Anleitung verlinkten Wiederherstellungsschritte nutzen. Langflow nicht löschen oder neu installieren — die Dokumentation warnt, dass dabei die Flows dauerhaft verloren gehen können.

Am 29. Oktober veröffentlichte IBM zudem CVE-Einträge zu 29 weiteren Langflow-Schwachstellen und nannte die Versionen 1.12.4 und 1.12.5 als Behebung. Eine davon, CVE-2026-104339, erlaubt ebenfalls einem Angreifer ohne Konto die Ausführung beliebigen Codes; IBM bewertet sie mit 9.8. Keiner der 33 Einträge, die vier genannten eingeschlossen, führt 1.13.0 als betroffen.