IBM Langflow OSS: Ausführung beliebiger SQL-Befehle durch fehlende Zugriffskontrolle
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 enthält eine Schwachstelle in der Zugriffskontrolle, die es einem entfernten Angreifer mit gültigem Benutzerkonto erlaubt, beliebige SQL-Befehle auszuführen. Bei erfolgreicher Ausnutzung könnte ein Angreifer Daten in der zugrunde liegenden Datenbank lesen, ändern oder löschen. NVD listet einen CVSS-Wert von 8.8, während IBM für diese CVE 8.5 mit Scope-Änderung angibt.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.3
Behoben in
- Upgrade auf Langflow OSS 1.12.4 (Angaben des CNA-Eintrags von IBM).
- Eine spätere IBM-Meldung (7294467) empfiehlt laut Berichten 1.13.0; dies ist nicht verifiziert.
Umgehung
- IBM nennt keinen Workaround.
- Bis zur Aktualisierung Langflow nicht aus dem öffentlichen Internet erreichbar machen.
- Den Zugriff auf vertrauenswürdige Benutzer und Netze beschränken und bestehende Konten prüfen.
- Zugangsdaten rotieren, falls ein Missbrauch vermutet wird.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS 0.37 % (Perzentil 31).
Unsere Empfehlung
- Prüfen, ob Langflow OSS 1.0.0 bis 1.12.3 im Einsatz ist, auch auf Test- und Entwicklungsinstanzen.
- Auf Langflow OSS 1.12.4 oder neuer aktualisieren und die Flows nach dem Update testen.
- Netzwerkzugriff auf Langflow einschränken sowie Benutzerkonten und Berechtigungen prüfen.
- Nach dem Update Protokolle auf ungewöhnliche Datenbankabfragen oder Zugriffe überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7293015 www.ibm.com
- IBM Security Bulletin 7294467 www.ibm.com
- GitHub Security Advisory GHSA-vwmf-pq79-vjvx github.com
- VulDB 428492 vuldb.com
- Red Packet Security CVE alert www.redpacketsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.