Langflow OSS: Unzureichende Zugriffskontrolle im Vertex-Ergebnis-Cache
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.2 enthält eine unzureichende Zugriffskontrolle im Caching-Subsystem für Vertex-Ergebnisse. Ein entfernter Angreifer mit einem authentifizierten Konto mit niedrigen Berechtigungen kann sensible Informationen abrufen oder schädliche Daten in gecachte Ergebnisse einschleusen. Es ist keine Benutzerinteraktion nötig, weshalb das Risiko vor allem für Mehrbenutzer-Installationen von Langflow relevant ist.
Betroffen
- IBM Langflow OSS 1.0.0 bis 1.12.2
Behoben in
- Aktualisierung auf IBM Langflow OSS 1.12.3 oder neuer (1.12.3 ist die von IBM genannte Korrekturversion; 1.12.4 wurde später veröffentlicht)
Umgehung
Unbekannt. Der geprüfte Auszug des IBM-Bulletins nennt keinen Workaround. Drittquellen empfehlen, den Zugriff auf das Caching-Subsystem einzuschränken und die Zugriffsprotokolle des Caches zu überwachen; dies ist nicht durch den Hersteller bestätigt.
Ausnutzung
- Für diese CVE wurden in den geprüften Quellen keine Ausnutzungen in freier Wildbahn gemeldet.
- CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Ein Drittanbieter-Aggregator führt die CVE nicht im CISA-KEV-Katalog; nicht direkt überprüft.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle Langflow-OSS-Instanzen und deren Versionen erfassen.
- Instanzen mit den Versionen 1.0.0 bis 1.12.2 auf Version 1.12.3 oder neuer aktualisieren.
- Bis zur Korrektur den Netzwerkzugriff einschränken, Benutzerkonten prüfen und die automatische Anmeldung deaktivieren, wo sie nicht benötigt wird.
- Zugriffs- und Cache-Protokolle auf ungewöhnliche Aktivitäten überwachen.
- Die korrigierte Version und allfällige Patch-Hinweise im vollständigen IBM-Bulletin bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: Langflow OSS is affected by multiple vulnerabilities www.ibm.com
- OSV: CVE-2026-97680 osv.dev
- GBHackers: IBM patches multiple Langflow OSS flaws gbhackers.com
- Strix: CVE-2026-97680 www.strix.ai
- OpenCVE: CVE-2026-97680 app.opencve.io
- VulDB: CVE-2026-97680 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.