IBM выпустила бюллетень безопасности о семи уязвимостях в Langflow OSS. На этой платформе собирают приложения на языковых моделях и часто держат её внутри корпоративной сети. Две уязвимости позволяют обойти проверку подлинности и запустить произвольный код на сервере без учётной записи. Затронуты установки, которые ещё работают на прежних версиях.
Что открыто без входа в систему
Обе получили 9,8 из 10 по шкале CVSS - оценки опасности уязвимости. Первая, CVE-2026-93680, связана с неправильной проверкой подлинности. Удалённый атакующий обходит ограничения доступа, и в сводке IBM отдельно отмечено: исправление механизма автоматического входа было неполным. Вторая, CVE-2026-110186, даёт выполнение произвольного кода из-за слабого контроля над генерацией кода. Привилегии и участие пользователя не нужны, атака идёт по сети.
В сводке бюллетеня назван и другой сценарий - удалённое выполнение кода без входа в систему через перечисление инструментов Model Context Protocol. Этот протокол связывает приложение с внешними инструментами, которые подключают к модели. Однако в описаниях отдельных идентификаторов механизм не привязан к конкретной уязвимости. Для администратора вывод один: включённые внешние интеграции расширяют набор функций, доступных атакующему.
Что доступно с учётной записью
CVE-2026-110193 требует низкопривилегированной учётной записи. Атакующий добивается, чтобы Agentic Assistant сгенерировал или отправил код компонента с незаблокированными шаблонами. На сервере это оборачивается выполнением команды операционной системы. Оценка - 8,8 из 10, участие пользователя не требуется.
CVE-2026-110192 закрывает другую часть картины. Вход нужен и здесь, а результатом становится раскрытие чувствительной информации из-за недостаточной защиты учётных данных. Оценка - 6,5 из 10. Условия важны для приоритизации: не все семь уязвимостей открыты без аутентификации, и IBM не утверждает, что их нужно выстраивать в цепочку.
Сведений об эксплуатации этих уязвимостей в реальных атаках нет. CISA в обогащении записей указала статус эксплуатации как отсутствующий. При этом атаки криптомайнинга на серверы Langflow уже происходили, но вели их через другую, более старую уязвимость. Поэтому обновление стоит планировать, не дожидаясь сообщений об атаках.
Три уязвимости в зависимости Hono
В поставку Langflow входит Hono - веб-фреймворк для JavaScript. В нём закрывают три уязвимости, все исправлены в версии 4.13.5.
CVE-2026-84363 связана с разбором запроса. Помощники Hono принимают знак вопроса после решётки за начало строки параметров. В результате приложение читает параметры, которых не видят браузер, обратный прокси и правила фильтрации. Кэш сохраняет ответ под ключом без этих параметров и позже отдаёт его другим пользователям. Атака удаётся, только если промежуточное звено передаёт решётку в URL как есть; Cloudflare Workers и прокси, отбрасывающие фрагмент, не затронуты. Оценка - 5,9 из 10.
CVE-2026-84364 ведёт к исчерпанию памяти. Когда включён разбор точечных имён полей, форма с вложенными объектами не ограничивает глубину вложенности. Запрос обычного размера порождает структуру объектов, которая намного больше самого запроса. Параллельные запросы выбирают память, и процесс сервера завершается до перезапуска. По умолчанию разбор точечных имён выключен, поэтому стандартная конфигурация не затронута. Оценка - 5,3 из 10.
CVE-2026-84365 - обход пути при генерации статического сайта. Это неполное исправление более ранней уязвимости CVE-2026-39408: часть последовательностей обхода осталась открытой. Если параметр маршрута приходит из CMS, API или пользовательского ввода, генератор может записать файл за пределами каталога вывода. Маршрутизация запросов и случаи, где значения задаёт разработчик, не затронуты. Оценка - 6,5 из 10.
Как обновляться с минимальным риском
IBM рекомендует перевести Langflow OSS на версию 1.13.0. Обновление ставят из пакета Python или из образа Docker с тем же тегом. Отдельных обходных мер бюллетень не приводит: до установки исправления защитного варианта нет.
Перед обновлением администраторам нужно сохранить базу данных, секретный ключ и загруженные файлы. Установки с автоматическим входом готовят к входу по паролю, иначе после обновления войти не получится. В Docker постоянное хранилище проверяют до пересоздания контейнеров. Ошибка в конфигурации стирает базу и учётные данные.
Новый релиз заменяет исправление из другого бюллетеня по Langflow, поэтому ориентироваться стоит на версию 1.13.0. Бюллетень IBM опубликован 28 октября и обновлён 29 октября. Записи CVE по уязвимостям Langflow вышли 29 октября.
Ссылки
