Langflow OSS: Codeausführung über gespeicherte Python-Komponenten in öffentlichen Workflows

Zusammenfassung

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine Code-Injection-Schwachstelle (CWE-94). Ein entfernter Angreifer kann Python-Komponentencode auslösen, der bereits in einem öffentlichen Workflow gespeichert ist. Der Code läuft danach im Laufzeitkontext des Flow-Besitzers innerhalb des Langflow-Serverprozesses und umgeht die Regel, dass öffentliche Ausführungspfade nur serverseitig vertrauenswürdige Komponenten ausführen dürfen. Die bereitgestellten CVE-Daten nennen einen CVSS-Wert von 9.8, während IBM den Fehler mit 6.5 und einem anderen Vektor bewertet; zudem ist die Authentifizierungsanforderung nicht bestätigt, daher ist der endgültige Wert in der NVD zu prüfen.

Betroffen

• IBM Langflow OSS 1.0.0 bis 1.12.4
• Desktop-Builds können andere Patch-Nummern verwenden, Haupt- und Nebenversionen stimmen jedoch überein.

Behoben in

• Gemäss CVE-Eintrag von IBM in Langflow OSS 1.11.2 behoben.
• IBM empfiehlt ein Upgrade auf Langflow OSS 1.12.5.

Umgehung

• Kein CVE-spezifischer Workaround von IBM veröffentlicht.
• LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS deaktiviert lassen; dies ist der Standard für öffentliche Workflows.
• Für Deployments mit MCP stdio empfiehlt IBM, LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true und LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true zu setzen und anschliessend den Dienst neu zu starten. Diese Massnahmen ersetzen das Upgrade nicht.
• Nicht benötigte öffentliche Flows nicht mehr veröffentlichen und verbleibende Instanzen hinter einem authentifizierten Reverse Proxy oder VPN betreiben.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• OffSeq meldet per 29. Okt. 2026 keine bekannte Ausnutzung. VulDB meldet zum Zeitpunkt der Veröffentlichung keinen verfügbaren Exploit.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Langflow-OSS- und Desktop-Instanzen inventarisieren und die genauen Versionen erfassen.
• Auf Langflow OSS 1.12.5 aktualisieren und Flows testen; dabei die Upgrade-Anleitung von IBM befolgen und vorher ein Backup erstellen.
• Öffentliche Flows prüfen, insbesondere solche mit Python-Komponenten, und nicht benötigte Flows nicht mehr veröffentlichen.
• Unnötige Internetexposition von Langflow-Instanzen entfernen.
• Auf unerwartete Shell- oder Interpreter-Prozesse überwachen, die vom Langflow-Prozess gestartet werden.
• Den endgültigen CVSS-Wert und die Authentifizierungsanforderung in der NVD und im IBM-Bulletin prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin: Langflow OSS is affected by multiple vulnerabilities www.ibm.com
• Langflow release notes docs.langflow.org
• VulDB: CVE-2026-18894 vuldb.com
• OffSeq Radar: CVE-2026-18894 radar.offseq.com
• Strix: CVE-2026-18894 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:05.