Duas falhas críticas no Langflow poderiam permitir que um invasor remoto não autenticado contornasse a autenticação ou executasse código arbitrário, informou a IBM na semana passada.
O Langflow é uma ferramenta de código aberto para criar agentes e fluxos de trabalho de IA. Os relatos de vulnerabilidades do projeto são encaminhados à IBM. Todas as versões entre a 1.0.0 e a 1.12.8 são afetadas. A correção está disponível na versão 1.13.0.
Na atualização de 30 de outubro, nenhuma das duas falhas constava no catálogo Known Exploited Vulnerabilities (KEV) da CISA. Outras seis falhas do Langflow aparecem na lista. A mais recente é a
CVE-2026-9198
, incluída em agosto.
O boletim da IBM, publicado inicialmente em 28 de outubro e atualizado no dia seguinte, lista quatro falhas no Langflow:
| CVE | Pontuação CVSS (IBM) | Exige conta? | Possível impacto, segundo a IBM |
|---|---:|---|---|
| CVE-2026-93680 | 9,8 (crítica) | Não | Contornar restrições de segurança devido a uma falha de autenticação |
| CVE-2026-110186 | 9,8 (crítica) | Não | Executar código arbitrário devido ao controle inadequado da geração de código |
| CVE-2026-110193 | 8,8 (alta) | Sim, uma conta com poucos privilégios | Fazer o Agentic Assistant gerar ou enviar código de componentes que executa comandos do sistema operacional no servidor |
| CVE-2026-110192 | 6,5 (média) | Sim | Obter informações confidenciais devido à proteção insuficiente de credenciais |
Segundo a IBM, uma das falhas permite “execução remota de código sem autenticação, explorável por meio da enumeração de ferramentas do Model Context Protocol”. Com o Model Context Protocol (MCP), o Langflow pode disponibilizar seus fluxos como ferramentas para aplicativos de IA compatíveis com o protocolo.
Um módulo público do Metasploit Framework já cita a CVE-2026-93680, que permite contornar a autenticação. Ele se conecta ao endpoint MCP de um servidor Langflow sem credenciais, inicia uma sessão e lista as ferramentas disponíveis. O módulo não executa código nem comandos no servidor.
O autor do módulo indica que as versões do Langflow entre a 1.5.0 e a 1.11.4 são afetadas, um intervalo mais restrito que o informado pela IBM.
Quando o login automático está ativado, o Langflow conecta os usuários como superusuários sem solicitar que façam login. A configuração LANGFLOW_AUTO_LOGIN vem ativada por padrão no Langflow 1.12.8. A descrição no código alerta que ela “contorna a autenticação e só deve ser usada em ambientes de desenvolvimento”.
O módulo foi testado no Langflow 1.8.4 com o login automático ativado. Segundo a IBM, outra das quatro falhas está relacionada a uma “correção incompleta de um controle de segurança relacionado ao login automático”. O boletim não informa se servidores com esse recurso desativado também estão vulneráveis.
Atualização para a versão 1.13.0
O Langflow 1.13.0 foi lançado em 22 de outubro. A versão 1.12.8, disponibilizada no mesmo dia, ainda contém as falhas. Em 2 de novembro, o PyPI não listava nenhuma versão posterior à 1.12.8. A IBM não oferece uma alternativa para servidores que ainda não podem ser atualizados.
No Langflow 1.13, o login automático vem desativado por padrão. Para atualizar:
1. Faça cópias de segurança do banco de dados, da chave secreta e dos arquivos enviados.
2. Se o servidor usa login automático, prepare a conta existente para entrar com uma senha, conforme as orientações de atualização do Langflow.
3. Atualize o pacote Python com `pip install --upgrade "langflow==1.13.0"`. No Docker, use a imagem `langflowai/langflow:1.13.0` e mantenha os dados persistentes da implantação.
4. Se não conseguir entrar após a atualização, siga as etapas de recuperação indicadas nas mesmas orientações. Não exclua nem reinstale o Langflow para recuperar o acesso. A documentação alerta que isso pode remover permanentemente seus fluxos.
Em 29 de outubro, a IBM também publicou registros de CVE para outras 29 falhas no Langflow e indicou as versões 1.12.4 e 1.12.5 como correções. Uma delas, a CVE-2026-104339, também poderia permitir que um invasor não autenticado executasse código arbitrário. A IBM atribuiu a ela a pontuação 9,8. Nenhum dos 33 registros, incluindo os quatro descritos acima, indica que a versão 1.13.0 seja afetada.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...