IBM Langflow OSS: Deserialisierung nicht vertrauenswürdiger Daten erlaubt Codeausführung
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.3 deserialisiert nicht vertrauenswürdige Daten aus dem Message Broker. Ein entfernter Angreifer, der den Message Broker erreichen kann, kann beliebigen Code auf dem System ausführen. Der NVD-Eintrag bewertet die Lücke mit CVSS 9.8 (kritisch), andere Quellen bewerten sie jedoch tiefer, weshalb der Wert zu überprüfen ist. Eine Ausnutzung ist nicht bekannt.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.3
Behoben in
- Auf Langflow OSS 1.12.4 aktualisieren (Empfehlung von IBM im CVE-Eintrag).
- Ein späteres IBM-Bulletin (7294467) und Drittquellen empfehlen 1.13.0, weil andere Langflow-Schwachstellen in 1.12.4 nicht behoben sind. Nicht verifiziert.
Umgehung
- Vom Hersteller dokumentierte Massnahme: Unbekannt.
- Falls ein Message Broker verwendet wird, sicherstellen, dass er von ausserhalb der Umgebung nicht erreichbar ist (Hinweis aus Drittquellen, kein IBM-Fix).
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Kein öffentlicher Exploit bekannt (VulDB).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Langflow OSS eingesetzt wird und welche Version läuft.
- Auf 1.12.4 oder besser 1.13.0 aktualisieren und die Flows nach dem Update testen.
- Zugriff auf den Message Broker auf die Langflow-Komponenten beschränken.
- Prüfen, ob Langflow-Instanzen aus dem Internet erreichbar sind, insbesondere mit den Standard-Einstellungen für die automatische Anmeldung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7293015 www.ibm.com
- Strix CVE-2026-104317 www.strix.ai
- CVE threatint CVE-2026-104317 cve.threatint.com
- Langflow release v1.12.4 github.com
- VulDB 428483 vuldb.com
- HOL blog on Langflow upgrade to 1.13.0 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.