Langflow'da giriş gerektirmeyen iki kritik açık, düzeltme 1.13.0'da

IBM, 28 Ekim’de yayımladığı ve 29 Ekim’de güncellediği güvenlik bülteninde, Langflow OSS’in 1.0.0 ile 1.12.8 arasındaki sürümlerinde dört açık bulunduğunu duyurdu. Bunlardan ikisinin CVSS 3.1 puanı 9.8 ve ikisi de saldırganın bir hesabının olmasını gerektirmiyor. The Hacker News bülteni 2 Kasım’da duyurdu. The Hacker News’e göre Langflow, yapay zekâ ajanları ve iş akışları oluşturmak için kullanılan açık kaynak bir araç ve açık bildirimleri IBM’e gidiyor.

Açıklar

IBM’in bültenindeki Langflow açıkları şunlar:

• CVE-2026-93680 (9.8): Hatalı kimlik doğrulama nedeniyle uzaktaki bir saldırganın güvenlik kısıtlamalarını atlatmasına izin veriyor.
• CVE-2026-110186 (9.8): Kod üretiminin yeterince denetlenmemesi nedeniyle uzaktaki bir saldırganın istediği kodu çalıştırmasına izin veriyor.
• CVE-2026-110193 (8.8): Düşük yetkili bir hesabı olan saldırganın, Langflow’un Agentic Assistant özelliğine engellenmemiş kalıplar içeren bileşen kodu ürettirmesine ya da gönderttirmesine ve böylece sunucuda işletim sistemi komutu çalıştırmasına yol açıyor.
• CVE-2026-110192 (6.5): Kimliği doğrulanmış bir saldırganın, yeterince korunmayan kimlik bilgileri nedeniyle hassas bilgi elde etmesine yol açıyor.

IBM’in özetine göre sorunlar arasında otomatik giriş (auto-login) güvenlik denetimine yönelik eksik bir düzeltme, üçüncü taraf bir kütüphane üzerinden ajan kodu çalıştırma, yöneticinin eklediği API anahtarlarının amaçlanan yetkilendirme olmadan erişilebilir olması ve model context protocol (MCP) araç listelemesi üzerinden istismar edilebilen, giriş gerektirmeyen bir uzaktan kod çalıştırma açığı var. Bülten bu sorunların hangi CVE’ye karşılık geldiğini ayrıca belirtmiyor. Bültende ayrıca Langflow’un kullandığı Hono kütüphanesindeki üç açık da yer alıyor.

Otomatik giriş ve Metasploit modülü

Herkese açık Metasploit Framework’te CVE-2026-93680’e atıf yapan bir modül bulunuyor. Modülün açıklamasına göre Langflow’un 1.5.0 ile 1.11.4 arasındaki sürümleri, MCP SSE uç noktasına kimlik doğrulaması olmadan bağlanılmasına, MCP oturumu başlatılmasına ve MCP ile ilgili yetkili bilgilerin alınmasına izin veriyor. The Hacker News’e göre modül sunucuda kod ya da komut çalıştırmıyor ve otomatik girişin açık olduğu Langflow 1.8.4 üzerinde denendi.

The Hacker News’e göre otomatik giriş açıkken Langflow kullanıcıları giriş istemeden süper kullanıcı (superuser) olarak oturum açtırıyor. Bu ayar Langflow 1.12.8’de varsayılan olarak açık, 1.13’te ise varsayılan olarak kapalı. IBM’in bülteni, otomatik girişin kapalı olduğu sunucuların etkilenip etkilenmediğini belirtmiyor.

Diğer Langflow açıkları

The Hacker News’e göre IBM 29 Ekim’de 29 Langflow açığı için daha CVE kaydı yayımladı ve bunların düzeltmesi olarak 1.12.4 ve 1.12.5 sürümlerini gösterdi. Bunlardan CVE-2026-104339, kaydına göre 1.12.3 ve önceki sürümlerde, uzaktaki bir saldırganın işletim sistemi komutlarındaki özel karakterlerin temizlenmemesi nedeniyle istediği kodu çalıştırmasına izin veriyor. IBM bu açığa da 9.8 puan veriyor.

Bültendeki açıklar 2 Kasım itibarıyla CISA’nın bilinen ve istismar edilen açıklar (KEV) listesinde yok. Listede Langflow’daki altı açık daha var ve bunlardan en son eklenen CVE-2026-9198, 4 Ağustos’ta listeye girdi.

Etkilenen ve düzeltilmiş sürümler

• Langflow OSS 1.0.0 ile 1.12.8 arasındaki sürümler etkileniyor.
• Açıklar Langflow OSS 1.13.0’da kapatıldı. Langflow’un GitHub’daki sürüm notlarına göre 1.13.0 ve hâlâ açıkları içeren 1.12.8, aynı gün, 22 Ekim’de yayımlandı.

Önerilen önlemler

IBM, Langflow OSS kurulumlarının hemen 1.13.0’a yükseltilmesini öneriyor ve geçici bir önlem vermiyor. IBM’e göre:

• Python paketi kullananlar pip install --upgrade "langflow==1.13.0" komutuyla, Docker kullananlar langflowai/langflow:1.13.0 imajıyla ve kalıcı verileri koruyarak yükseltme yapabilir.
• Yükseltmeden önce veritabanının, gizli anahtarın ve yüklenen dosyaların yedeği alınmalı.
• Otomatik giriş kullanılıyorsa, mevcut hesap yükseltmeden önce parolayla giriş için hazırlanmalı.

The Hacker News’e göre yükseltmeden sonra giriş yapılamazsa Langflow’u silip yeniden kurmak yerine Langflow’un belgelerindeki kurtarma adımları izlenmeli, çünkü belgelere göre bu, akışların kalıcı olarak silinmesine yol açabiliyor.