IBM Langflow OSS: Code-Ausführung durch unzureichende Eingabevalidierung
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine Schwachstelle aufgrund unzureichender Eingabevalidierung (CWE-693). Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Rechten kann beliebigen Code ausführen. Anonymer Zugriff reicht nicht aus, der Code läuft jedoch mit den Rechten des Langflow-Prozesses, weshalb gespeicherte Zugangsdaten, API-Schlüssel und angebundene Dienste gefährdet sind. Technische Details zum betroffenen Codepfad sind nicht offengelegt.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.2
Behoben in
- Upgrade auf 1.12.3 oder neuer. Die Fix-Version stammt aus dem OSV-Eintrag und der Empfehlung von IBM für diesen Produktbereich. Vor dem Verlass darauf auf dem IBM-Bulletin bestätigen.
Umgehung
Unbekannt. Für diese CVE ist kein herstellerspezifischer Workaround bekannt.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt (gemäss OpenCVE und Strix).
- Für diese CVE wurde keine Ausnutzung gemeldet und kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: nicht automatisierbar, totale technische Auswirkung.
- Andere Langflow-CVEs wurden ausgenutzt, das Produkt wird daher aktiv angegriffen.
Unsere Empfehlung
- Alle Langflow-OSS-Instanzen inventarisieren, einschliesslich Docker-Images und Desktop-Installationen.
- Betroffene Versionen nach Bestätigung auf dem IBM-Bulletin auf 1.12.3 oder neuer aktualisieren.
- Benutzerkonten prüfen und nicht benötigte oder gemeinsam genutzte Konten entfernen.
- Netzwerkzugriff auf Langflow einschränken, insbesondere bei aus dem Internet erreichbaren Instanzen.
- Logs auf unerwartete Flow-Änderungen oder Ausführungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: Langflow OSS is affected by multiple vulnerabilities www.ibm.com
- OSV record CVE-2026-97678 osv.dev
- OpenCVE CVE-2026-97678 app.opencve.io
- Strix CVE-2026-97678 www.strix.ai
- DEV Community: Incident response checklist for Langflow OSS 1.0.0 through 1.12.2 dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.