IBM Langflow OSS: Code-Injection im Agentic Assistant ermoeglicht OS-Befehlsausfuehrung

Zusammenfassung

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.8 enthaelt eine Code-Injection-Schwachstelle im Agentic Assistant, der Komponentencode fuer Flows generiert und validiert. Ein entfernter Angreifer mit einem beliebigen Konto mit niedrigen Berechtigungen kann den Assistenten dazu bringen, Komponentencode mit nicht blockierten Mustern zu generieren oder einzureichen. Eine erfolgreiche Ausnutzung fuehrt zur beliebigen Ausfuehrung von Betriebssystembefehlen auf dem Server und gefaehrdet gespeicherte API-Schluessel, Daten und angebundene Systeme. Bisher wurden weder ein oeffentlicher Proof of Concept noch eine Ausnutzung in freier Wildbahn gefunden.

Betroffen

• IBM Langflow OSS 1.0.0 bis 1.12.8
• Betroffene Komponente: Agentic Assistant (Generierung von Komponentencode)
• Angreifer benoetigt ein gueltiges Konto mit niedrigen Berechtigungen auf der Instanz

Behoben in

• Auf IBM Langflow OSS 1.13.0 oder neuer aktualisieren (Sekundaerquellen; die behobene Version auf der IBM-Bulletin-Seite verifizieren)
• pip-Benutzer: pip install langflow --upgrade
• Docker-Benutzer: das neueste getaggte Image beziehen

Umgehung

Unbekannt. Das Herstellerbulletin nennt fuer diese CVE keinen Workaround. Empfohlene Zwischenmassnahmen der Analyse (nicht vom Hersteller fuer diese CVE bestaetigt): Agentic Assistant bis zur Installation der korrigierten Version deaktivieren, Langflow-Konten auf Personen beschraenken, die sie benoetigen, und die Instanz nicht aus dem Internet erreichbar machen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; ein Tracker fuehrt sie als nicht bekanntermassen ausgenutzt
• Kein oeffentlicher Proof of Concept gefunden
• EPSS 0.76 % (Perzentil 55)
• Noch nicht geprueft: NVD-Eintrag und CISA-KEV-Katalog

Unsere Empfehlung

• Langflow OSS so bald wie moeglich auf 1.13.0 oder neuer aktualisieren, nachdem die behobene Version auf der IBM-Bulletin-Seite bestaetigt wurde
• Bis zum Patch den Agentic Assistant deaktivieren, falls er nicht benoetigt wird, sowie Langflow-Benutzerkonten pruefen und einschraenken
• Langflow nicht aus dem Internet erreichbar machen; an localhost binden oder hinter Authentifizierung und Netzwerkkontrollen betreiben
• Logs auf ungewoehnliche Erstellung von Komponentencode oder unerwartete Prozessausfuehrung auf dem Langflow-Server pruefen
• Bei Verdacht auf Missbrauch in Langflow gespeicherte API-Schluessel und Zugangsdaten erneuern

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin: Langflow OSS is affected by multiple vulnerabilities www.ibm.com
• IBM Security Bulletin (Agentic Assistant, related) www.ibm.com
• HOL: CVE-2026-93680 Langflow upgrade to 1.13.0 hol.org
• OffSeq threat radar: CVE-2026-110193 radar.offseq.com
• Strix: CVE-2026-110193 www.strix.ai
• VulDB: CVE-2026-110193 vuldb.com
• GitHub advisory GHSA-v8hw-mh8c-jxfc (related Agentic Assistant issue) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:12.