Суть угрозы: обход защиты и RCE
Платформа для создания ИИ-агентов Langflow подвержена двум критическим уязвимостям, оцененным в 9,8 балла по шкале CVSS 3.1. Ошибки позволяют злоумышленникам обходить механизмы аутентификации и выполнять произвольный код на сервере (RCE) без каких-либо действий со стороны пользователя. Исправления выпущены в версии 1.13.0, которая отключает автоматический вход по умолчанию.
Детали уязвимостей и метрики
Проблемы затрагивают архитектуру взаимодействия с Model Context Protocol (MCP) и систему проверки подлинности. Ниже приведено сравнение ключевых характеристик найденных уязвимостей:
| Идентификатор | Тип угрозы | CVSS 3.1 | Требует аутентификации | Описание |
|---|---|---|---|---|
| CVE-2026-93680 | Обход аутентификации | 9.8 | Нет | Позволяет получить доступ к MCP-интерфейсу и перечислять инструменты без пароля. |
| CVE-2026-110186 | Удаленное выполнение кода (RCE) | 9.8 | Нет | Открывает путь к выполнению произвольного кода на сервере через уязвимости в обработке запросов. |
| CVE-2026-110193 | Выполнение системных команд | 8.8 | Да | Позволяет пользователю с ограниченными правами запустить команды через Agentic Assistant. |
| CVE-2026-110192 | Утечка учетных данных | 6.5 | Да | Связана с недостаточной защитой сохраненных учетных данных. |
Эксплуатация и инструменты
Для критической уязвимости CVE-2026-93680 уже создан модуль Metasploit. Он проверяет доступ к MCP-интерфейсу через SSE (Server-Sent Events), создает сеанс и получает сведения о доступных инструментах без ввода пароля. Разработчик модуля протестировал его на версии Langflow 1.8.4, указывая диапазон уязвимых версий с 1.5.0 по 1.11.4. Важно отметить, что сам модуль Metasploit на данный момент не выполняет команды на сервере, а лишь демонстрирует обход защиты.
Роль автоматического входа
Ситуация усугубляется тем, что в версии 1.12.8 параметр LANGFLOW_AUTO_LOGIN был включен по умолчанию. Это позволяло пользователям автоматически получать права администратора без ввода пароля. В обновлении 1.13.0 эта функция отключена. IBM не уточняет, сохраняется ли возможность эксплуатации критических дыр при отключенном авто-входе, но рекомендует немедленно обновиться.
Рекомендации по защите
Langflow уже становился целью реальных атак: в марте и сентябре фиксировались попытки хищения ключей OpenAI и AWS. Хотя новые критические ошибки пока не зафиксированы в каталоге CISA, риск высок. Для защиты необходимо:
- Обновиться до версии 1.13.0 через pip или Docker (тег 1.13.0).
- Сделать резервные копии базы данных, секретного ключа и загруженных файлов перед обновлением.
- Подготовить учетную запись для входа по паролю, так как авто-вход больше не используется по умолчанию.
Источник: Securitylab ↗