Langflow OSS: Remote Code Execution durch authentifizierte Benutzer über Code Injection
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Code-Injection-Schwachstelle (CWE-94), mit der ein entfernter Angreifer mit gültigem Konto beliebigen Code ausführen kann. Bei erfolgreicher Ausnutzung läuft der Code mit den Rechten des Langflow-Dienstes, wodurch gespeicherte API-Schlüssel, Modellzugangsdaten und Daten offengelegt werden können. IBM stuft die Schwachstelle mit CVSS 8.8 ein und empfiehlt das Upgrade auf Version 1.12.3.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.2
Behoben in
- Upgrade auf Langflow OSS 1.12.3 (von IBM als Behebungsversion genannt). Die IBM-Meldung auf neuere Versionen prüfen, da eine neuere Meldung 1.12.3 als betroffen auflistet.
Umgehung
Unbekannt. IBM dokumentiert keinen Workaround.
Ausnutzung
- Keine bekannte Ausnutzung und kein öffentlicher Proof-of-Concept gemäss den Recherchenotizen.
- Nicht in der CISA-KEV-Liste aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Langflow-OSS-Instanzen inventarisieren, einschliesslich Test- und Demosysteme, und deren Versionen erfassen.
- Auf mindestens 1.12.3 aktualisieren oder auf die neueste von der IBM-Meldung unterstützte Version.
- Netzwerkzugriff auf Langflow einschränken und nicht benötigte Benutzerkonten entfernen.
- Prüfen, ob Instanzen mit Version 1.12.2 oder älter aus unvertrauenswürdigen Netzen erreichbar waren, und Logs auf unerwartete Workflow-Änderungen oder Child-Prozesse prüfen.
- Bei vermuteter Exponierung API-Schlüssel und Zugangsdaten, die in Langflow gespeichert sind oder darauf zugreifbar sind, rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin www.ibm.com
- OSV: CVE-2026-93443 osv.dev
- VulDB: CVE-2026-93443 vuldb.com
- GBHackers: IBM patches multiple Langflow OSS flaws gbhackers.com
- CyberPress: IBM patches critical Langflow vulnerabilities cyberpress.org
- SecurityOnline: Langflow vulnerabilities 1.12.3 securityonline.info
- OpenCVE: CVE-2026-93443 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.