IBM Langflow OSS: Remote Code Execution durch fehlerhafte Zugriffskontrolle
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle bei der Zugriffskontrolle. Ein entfernter Angreifer mit gültigem Benutzerkonto kann beliebigen Code auf dem Host ausführen, auf dem Langflow läuft. Es ist keine Benutzerinteraktion erforderlich, und der Angriff kann über das Netzwerk mit geringer Komplexität erfolgen. Ein kompromittierter Host könnte gespeicherte API-Schlüssel und Cloud-Zugangsdaten offenlegen.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.2
Behoben in
- Auf Langflow OSS 1.12.3 oder neuer aktualisieren (Empfehlung von IBM gemäss CVE-Eintrag)
Umgehung
Unbekannt. Für diese CVE ist kein Workaround des Herstellers dokumentiert.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen nicht als bekannt ausgenutzt (KEV) aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst nicht aus, dass einer existiert.
Unsere Empfehlung
- Langflow OSS so rasch wie möglich auf 1.12.3 oder neuer aktualisieren.
- Direkte Erreichbarkeit aus dem Internet entfernen oder den Zugriff auf VPN oder vertrauenswürdige IP-Bereiche beschränken.
- Benutzerkonten überprüfen, offene Selbstregistrierung deaktivieren und starke Passwörter durchsetzen.
- Die Geheimnisse (API-Schlüssel, Cloud-Zugangsdaten) begrenzen, die dem Langflow-Prozess zur Verfügung stehen, und bei vermuteter Offenlegung rotieren.
- Logs auf ungewöhnliche Flow-Erstellung und unerwartete Child-Prozesse des Langflow-Dienstes überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Farih123/CVE-2026-104335
Quellen der Recherche
- IBM Security Bulletin www.ibm.com
- OSV: CVE-2026-104335 osv.dev
- VulDB: CVE-2026-104335 vuldb.com
- GBHackers: IBM patches multiple Langflow OSS flaws gbhackers.com
- HOL Guard: CVE-2026-104335 hol.org
- Strix: CVE-2026-104335 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.