A IBM informou na semana passada que duas falhas críticas no Langflow podem permitir que um atacante remoto, sem conta no sistema, contorne a autenticação ou execute código arbitrário.
O Langflow é uma ferramenta de código aberto para criar agentes e fluxos de trabalho com inteligência artificial, e seus relatórios de vulnerabilidade são encaminhados à IBM. Todas as versões, de 1.0.0 até 1.12.8, têm as falhas, e a única correção disponível é a versão 1.13.0.
Nenhuma das duas falhas consta no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV, sigla para Known Exploited Vulnerabilities) da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA), na atualização de 30 de outubro. Outras seis falhas do Langflow estão listadas ali, a mais recente delas o CVE-2026-9198 (sigla para Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades), incluída em agosto.
O boletim da IBM sobre as quatro falhas do Langflow, publicado pela primeira vez em 28 de outubro e atualizado no dia seguinte, são:
Uma das falhas é “execução remota de código não autenticada explorável por meio da enumeração de ferramentas do protocolo MCP (Model Context Protocol)”, segundo a IBM. Por meio do MCP, o Langflow pode oferecer seus fluxos como ferramentas para aplicativos de IA que suportam o protocolo.
Um módulo público do Metasploit Framework já cita o CVE-2026-93680, a falha de contorno de autenticação. Ele se conecta ao ponto de acesso MCP de um servidor Langflow sem credenciais, inicia uma sessão e lista as ferramentas oferecidas pelo servidor. O módulo não executa código nem comandos no servidor.
O autor do módulo indica como afetadas as versões de 1.5.0 a 1.11.4, um intervalo mais restrito que o informado pela IBM.
Quando o login automático está ativado, o Langflow autentica os usuários como superusuários sem pedir que façam login. A configuração LANGFLOW_AUTO_LOGIN vem ativada por padrão na versão 1.12.8 do Langflow. A descrição da configuração no código alerta que ela “contorna a autenticação e só deve ser usada em ambientes de desenvolvimento”.
O módulo foi testado na versão 1.8.4 do Langflow com o login automático ativado. Outra das quatro falhas é “uma remediação incompleta de um controle de segurança de login automático”, segundo a IBM. O boletim não informa se servidores com login automático desativado são vulneráveis.
Atualização para a versão 1.13.0
A versão 1.13.0 do Langflow foi lançada em 22 de outubro. A versão 1.12.8, lançada no mesmo dia, ainda tem as falhas, e o PyPI (repositório oficial de pacotes Python) não lista nenhuma versão 1.12 posterior até 2 de novembro. A IBM não oferece solução alternativa para servidores que ainda não podem ser atualizados.
O Langflow 1.13 desativa o login automático por padrão. Para atualizar:
- Faça backup do banco de dados, da chave secreta e dos arquivos enviados.
- Se o servidor usa login automático, prepare a conta existente para login com senha, conforme descreve o guia de atualização do Langflow.
- Atualize o pacote Python com o comando pip install --upgrade "langflow==1.13.0". No Docker, migre para a imagem langflowai/langflow:1.13.0 e mantenha os dados persistentes da implantação.
- Se não conseguir entrar após a atualização, siga os passos de recuperação indicados no mesmo guia. Não exclua nem reinstale o Langflow para recuperar o acesso, pois a documentação do projeto alerta que isso pode remover permanentemente seus fluxos.
Em 29 de outubro, a IBM também publicou registros CVE para outras 29 falhas do Langflow e indicou as versões 1.12.4 e 1.12.5 como correções. Uma delas, o CVE-2026-104339, também poderia permitir que um atacante sem conta executasse código arbitrário, e a IBM lhe atribui nota 9,8. Nenhum dos 33 registros, incluindo estas quatro falhas, lista a versão 1.13.0 como afetada.
