Langflow OSS: Codeausführung über Dependency Confusion
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 ist von einer Dependency-Confusion-Schwachstelle betroffen, die als Verletzung des erwarteten Verhaltens (CWE-440) eingestuft ist. Gemäss CVE-Eintrag kann ein entfernter Angreifer beliebigen Code ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Quellen widersprechen sich beim CVSS-Wert (9.8 gegenüber 8.8) und darin, ob eine Benutzerinteraktion nötig ist, daher sind die genauen Angriffsbedingungen nicht bestätigt.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.2
- Der Geltungsbereich des Open-Source-Pakets stammt von IBM und OSV; bei Bedarf bei IBM Gewissheit einholen.
Behoben in
- Auf Langflow OSS 1.12.3 oder neuer aktualisieren (Empfehlung von IBM).
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn gefunden; fehlende Hinweise sind kein Beweis.
Unsere Empfehlung
- Alle Langflow-Instanzen inventarisieren, inklusive Version, Installationsart und Netzwerkexposition.
- Auf 1.12.3 oder neuer aktualisieren und Container-Images neu erstellen.
- Abhängigkeiten fixieren und verifizieren, nach Möglichkeit mit Hashes, und private Paketindizes priorisieren.
- Langflow bis zur Behebung vom öffentlichen Internet fernhalten und Bearbeitungsrechte für Flows einschränken.
- In Langflow gespeicherte API-Schlüssel und Zugangsdaten rotieren.
- Den CVSS-Vektor in NVD und im IBM-Bulletin für die Priorisierung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: Langflow OSS www.ibm.com
- OSV: CVE-2026-93675 osv.dev
- OpenCVE: CVE-2026-93675 app.opencve.io
- VulDB: CVE-2026-93675 vuldb.com
- GBHackers: IBM patches multiple Langflow OSS flaws gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.