Langflow

In Langflow ermöglicht die Verarbeitung des exec_globals-Parameters am validate-Endpunkt das Einbinden von Funktionalität aus einer nicht vertrauenswürdigen Quelle und dadurch Remote Code Execution. Eine Authentifizierung ist zur Ausnutzung nicht erforderlich; ein Angreifer kann Code im Kontext von root ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Auf eine bereinigte Version aktualisieren, sobald verfügbar.

In IBM Langflow OSS besteht in der ToolGuard-Integration der Policies-Komponente eine Code-Injection-Schwachstelle. Betroffen sind laut Quelle die Versionen 1.0.0 bis 1.10.0 beziehungsweise bis 1.9.2 (Commit 94981c443d4918517b9e8163d70fc598dc33a32d). Ein Angreifer kann darüber eigenen Code einschleusen und ausführen. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

Langflow ist ein Werkzeug zum Erstellen und Betreiben von KI-Agenten und Workflows. In Versionen vor 1.9.2 enthält die Funktion Shareable Playground (im Code Public Flows) eine kritische Schwachstelle zur Remote Code Execution. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Langflow 1.9.2 oder neuer aktualisieren.

IBM Langflow OSS Version 1.0.0 bis 1.11.5 kann einem entfernten Angreifer die Ausführung beliebigen Codes ermöglichen, da bei der Graph-Konstruktion eine Code-Injection auftritt. CVSS-Basiswert: 9.8 (Kritisch). Der Fund ist laut Zuordnung mehreren Herstellern zugeordnet: Langflow / DataStax, SimpleHelp Ltd und Light Code Labs.

In Langflow OSS (Versionen 1.0.0 bis 1.10.0) erlaubt ein Fehler in der Authentifizierungslogik für Webhooks nicht authentifizierten Benutzern, die Ausführung beliebiger Flows auszulösen. Das System umgeht die Authentifizierung dabei fälschlicherweise. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

IBM Langflow OSS 1.0.0 bis 1.9.3 kombiniert eine unzureichende Isolation der Python-Ausführung mit einer Authentifizierungsumgehung. Ein nicht authentifizierter Angreifer kann dadurch beliebigen Code ausführen. CVSS-Basiswert: 10 (Kritisch) bei netzbasiertem Angriffsvektor ohne erforderliche Authentifizierung oder Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.9.3 aktualisieren.

In IBM Langflow OSS 1.0.0 bis 1.10.0 besteht eine kritische Remote-Code-Execution-Schwachstelle im plattenbasierten Caching-Mechanismus. Die Klasse AsyncDiskCache nutzt die unsichere Python-Funktion pickle.loads(), wodurch beim Deserialisieren nicht vertrauenswürdiger Cache-Daten beliebiger Code ausgeführt werden kann. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Langflow OSS ist in den Versionen 1.0.0 bis 1.10.1 über eine Umgebungsvariablen-Injektion im MCP-Stdio-Launcher (Model Context Protocol) anfällig für nicht authentifizierte Remotecodeausführung. Ein Angreifer kann die Schwachstelle ohne vorherige Anmeldung ausnutzen, um beliebigen Code auf dem betroffenen System auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.11.5 erlaubt einem entfernten Angreifer die Ausführung beliebiger Betriebssystembefehle aufgrund unsachgemässer Neutralisierung von Sonderzeichen in einem OS-Befehl. CVSS-Basiswert: 9.8 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis einschliesslich 1.10.0 enthält eine kritische Schwachstelle zur entfernten Codeausführung im Endpunkt zur Code-Validierung. Der Endpunkt POST /api/v1/validate/code nimmt von Benutzern übermittelten Python-Code entgegen, wodurch Angreifer beliebigen Code ausführen können. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten auf eine bereinigte Version aktualisiert und der Zugriff auf den Validierungs-Endpunkt eingeschränkt werden.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.11.5 erlaubt einem nicht authentifizierten Angreifer, über öffentlich freigegebene MCP-Projekt-Endpunkte beliebigen Code auszuführen sowie Chat-Sitzungen einzusehen oder zu verändern. CVSS-Basiswert: 9.8 (Kritisch). Es liegt kein Eintrag im CISA-KEV-Katalog vor und kein EPSS-Wert.

In Langflow OSS 1.0.0 bis 1.10.0 erlaubt eine unzureichende Authentifizierung am Endpunkt /api/v1/login/auto_login einem entfernten Angreifer unautorisierten Zugriff; der Endpunkt stellt langlebige Zugangstoken aus. Über das Netzwerk lassen sich ohne Anmeldedaten Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährden. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf eine Version neuer als 1.10.0.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In Versionen vor 1.9.2 kann ein Angreifer, der die in den RAG-Prozess eingelesenen Dateien kontrolliert, den betreffenden Knoten dazu bringen, beliebige Dateien zu lesen. CVSS-Basiswert: 9.6 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Langflow 1.9.2.

IBM Langflow OSS 1.0.0 bis 1.10.0 erlaubt Nutzern mit Redis-Zugriff, beliebigen Code mit vollen Anwendungsrechten auszuführen und damit sämtliche Geheimnisse, Daten und die Systemintegrität zu kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.1 ermöglicht die Ausführung von beliebigem Code aus der Ferne durch eine unsachgemässe Validierung symbolischer Links beim Entpacken von Archiven. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Langflow OSS (Versionen 1.0.0 bis 1.10.0) erlaubt eine unzureichende Eingabevalidierung in der APIRequest-Komponente das Schreiben beliebiger Dateien an unerwünschte Speicherorte. Über diese Path-Traversal-Schwachstelle kann ein Angreifer Dateien ausserhalb des vorgesehenen Verzeichnisses ablegen. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene Installation auf eine bereinigte Version aktualisieren.

In IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 besteht eine Schwachstelle durch unzureichende Kontrolle nutzergesteuerter Eingaben. Ein entfernter Angreifer kann dadurch beliebigen Code auf dem System ausführen. CVSS-Basiswert: 9.9 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Langflow ist ein Werkzeug zum Bauen und Betreiben von KI-gestützten Agenten und Workflows. In Versionen vor 1.9.1 können nicht authentifizierte Nutzer beliebige Datenmengen auf den Server hochladen, ohne dass eine Begrenzung greift. Der CVSS-Vektor weist entsprechend eine hohe Auswirkung auf die Verfügbarkeit aus. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Langflow 1.9.1 oder neuer aktualisieren.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.3 erlaubt einem Angreifer laut NVD, sämtliche für den Langflow-Prozess verfügbaren Secrets auszulesen sowie alle Flows, Konversationen, Nachrichten, Datei-Uploads und gespeicherten Komponenten zu lesen und zu verändern. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Langflow auf eine Version oberhalb von 1.9.3 heben.

In IBM Langflow OSS 1.0.0 bis 1.10.0 können authentifizierte Benutzer ihre Rechte bis zum Superuser ausweiten, indem sie die Datenbank direkt manipulieren. Dadurch lassen sich beliebige Systembefehle ausführen und die vollständige Kontrolle über das System erlangen. Betroffen sind sämtliche Installationen der genannten Versionsspanne. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In IBM Langflow OSS 1.0.0 bis 1.10.0 können nicht authentifizierte Angreifer unbegrenzt Benutzerkonten auf beliebigen Langflow-Instanzen anlegen. Ist die dokumentierte Bereitstellungsoption NEW_USER_IS_ACTIVE=true gesetzt, werden neu erstellte Konten unmittelbar aktiv. Dies eröffnet Angreifern ohne vorherige Anmeldung Zugang zur Anwendung. CVSS-Basiswert: 9.8 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 erlaubt laut NVD authentifizierten Angreifern, beliebige Betriebssystembefehle auszuführen und sensible Dateien einschliesslich Zugangsdaten zu lesen. Das ermöglicht die vollständige Kompromittierung des Systems und laterale Bewegung im Netz. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Langflow auf eine Version oberhalb von 1.10.0 heben und exponierte Instanzen vom Netz nehmen.

Langflow OSS enthält in den Versionen 1.0.0 bis 1.10.1 eine unzureichende Eingabevalidierung in der Implementierung der PythonREPL-Sandbox. CVSS-Basiswert: 9.9 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.8.4 setzt die Autorisierung im Streamable-Transport unzureichend durch. Nicht authentifizierte Angreifer können dadurch auf geschützte MCP-Projektressourcen zugreifen und MCP-Operationen ausführen. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Voice-Mode von IBM Langflow OSS 1.0.0 bis 1.10.0 verwaltet gemeinsam genutzten Zustand fehlerhaft, sodass API-Clients über Mandantengrenzen hinweg wiederverwendet werden. Ein authentifizierter Angreifer kann laut NVD den Cache-Zustand manipulieren. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.1 enthält hartkodierte Zugangsdaten wie ein Passwort oder einen kryptografischen Schlüssel, die für die eigene eingehende Authentifizierung und die ausgehende Kommunikation mit externen Komponenten verwendet werden. Solche fest eingebetteten Geheimnisse können von Angreifern extrahiert und zur Umgehung der Authentifizierung missbraucht werden. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene Installationen sollten auf eine bereinigte Version aktualisiert werden.

IBM Langflow OSS 1.0.0 bis 1.10.0 kann laut NVD die Offenlegung aller gespeicherten Zugangsdaten ermöglichen, da für die Verschlüsselung im Ruhezustand ein schwaches und umkehrbares Schlüsselableitungsverfahren verwendet wird. Der Angriff ist netzwerkbasiert ohne Authentifizierung möglich und wirkt sich hoch auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Langflow ist ein Tool zum Erstellen und Bereitstellen von KI-gestützten Agenten und Workflows. Vor Version 1.9.0 ist die Knowledge-Bases-API (DELETE /api/v1/knowledge_bases) anfällig für Path Traversal, da nutzerseitig angegebene Knowledge-Base-Namen ohne Bereinigung oder Grenzprüfung direkt in Dateipfade eingesetzt werden. Ein authentifizierter Angreifer kann dadurch beliebige Verzeichnisse auf dem Server-Dateisystem löschen, was zu Datenverlust und Serviceausfall führen kann. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Update auf Langflow 1.9.0 oder neuer.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In Versionen vor 1.9.0 führt die Funktion Agentic Assistant vom LLM erzeugten Python-Code während einer Validierungsphase aus. Die Implementierung erreicht dabei dynamische Ausführungspfade und instanziiert die erzeugte Klasse serverseitig, sodass ein Angreifer mit Zugriff auf die Funktion beliebigen serverseitigen Python-Code ausführen kann. Der Fehler wurde in Version 1.9.0 behoben. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Langflow 1.9.0 aktualisieren.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In den Versionen 1.2.0 bis 1.8.1 lässt sich der Patch für CVE-2025-68478 umgehen, da dem LocalStorageService die Grenzprüfung fehlt und der Schutz allein auf der HTTP-Ebene liegt. Der Endpunkt POST /api/v2/files/ ist dadurch für Arbitrary File Write anfällig: Über den Multipart-Dateinamen können authentifizierte Angreifer Dateien an beliebige Orte des Hosts schreiben, was zu Remote Code Execution führt. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Version 1.9.0 aktualisieren, die den korrigierten Fix enthält.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. Vor Version 1.9.0 besteht in mehreren GitHub-Actions-Workflows des Repositorys eine unauthentifizierte, entfernte Shell-Injection: Nicht bereinigte Interpolation von GitHub-Kontextvariablen (etwa github.head_ref) in run-Schritten erlaubt Angreifern, über einen bösartigen Branch-Namen oder Pull-Request-Titel beliebige Shell-Befehle einzuschleusen und auszuführen. Dies kann zur Exfiltration von Secrets (etwa GITHUB_TOKEN), zu Infrastrukturmanipulation oder zu Supply-Chain-Kompromittierung während der CI/CD-Ausführung führen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 1.9.0 aktualisieren.

Langflow dient zum Erstellen und Bereitstellen von KI-Agenten und Workflows. Vor Version 1.8.0 setzt der CSV-Agent-Knoten allow_dangerous_code fest auf True und stellt damit automatisch das Python-REPL-Werkzeug (python_repl_ast) bereit. Dadurch kann ein Angreifer über Prompt-Injection beliebige Python- und Betriebssystembefehle auf dem Server ausführen, was zu vollständiger Remote Code Execution führt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.8.0.

Langflow erlaubt nicht authentifizierten Angreifern aus der Ferne die Ausführung beliebigen Codes. Die Schwachstelle liegt in der Verarbeitung des an den validate-Endpunkt übergebenen code-Parameters: Eine benutzergesteuerte Zeichenkette wird ohne ausreichende Prüfung zur Ausführung von Python-Code verwendet, wodurch Code im Kontext von root ausgeführt werden kann. Eine Authentifizierung ist nicht erforderlich. CVSS-Basiswert: 9.8 (Kritisch).

In Langflow ermöglicht die Funktion eval_custom_component_code eine Eval-Injection und damit die Ausführung von Schadcode aus der Ferne. Ursache ist die fehlende Validierung einer benutzergelieferten Zeichenkette, bevor sie als Python-Code ausgeführt wird; eine Authentifizierung ist nicht erforderlich. Ein Angreifer kann so Code im Kontext des laufenden Prozesses ausführen. CVSS-Basiswert: 9.8 (Kritisch).

In Langflow vor Version 1.7.0.dev45 fehlen mehreren kritischen API-Endpunkten Authentifizierungskontrollen. Dadurch kann ein beliebiger nicht authentifizierter Nutzer auf sensible Konversationsdaten und Transaktionsverläufe zugreifen sowie destruktive Operationen wie das Löschen von Nachrichten ausführen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 1.7.0.dev45.

Langflow bis einschliesslich Version 1.0.18 ist für Remote-Code-Ausführung anfällig, da jede Komponente eine Code-Funktionalität bereitstellt und die Komponenten auf der lokalen Maschine statt in einer Sandbox ausgeführt werden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen und den Zugriff auf die Anwendung einschränken.

In langflow v1.0.12 wurde über die Komponente PythonCodeTool eine Schwachstelle zur Remotecodeausführung entdeckt. CVSS-Basiswert: 9.8 (Kritisch).

Langflow bis einschliesslich Version 0.6.19 erlaubt die Ausführung von Remotecode, wenn nicht vertrauenswürdige Benutzer den Endpunkt POST /api/v1/custom_component erreichen und ein Python-Skript übergeben können. CVSS-Basiswert: 9.8 (Kritisch).

Der Endpunkt POST /api/v2/files von Langflow säubert den Parameter filename in Multipart-Formulardaten nicht, sodass ein Angreifer per Path Traversal Dateien an beliebigen Orten im Dateisystem ablegen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 31.4 %.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt es einem entfernten authentifizierten Angreifer, durch unzureichende Validierung des command-Feldes in MCP-Server-Konfigurationen beliebige Befehle auszuführen. CVSS-Basiswert: 8.8 (Hoch). Kein Eintrag im CISA-KEV-Katalog, kein bekannter Einsatz in Ransomware-Kampagnen.

Laut NVD besteht in IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 eine Schwachstelle, die einem remote authentifizierten Angreifer mit erhöhten Rechten weitreichende Auswirkungen auf Vertraulichkeit und Integrität ermöglichen könnte; die Quellbeschreibung bricht an dieser Stelle ab und nennt keine weiteren Details. CVSS-Basiswert: 7.2 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

In IBM Langflow Desktop 1.6.0 bis 1.8.2 kann ein authentifizierter Nutzer aufgrund einer unsicheren Standardeinstellung, die die Deserialisierung nicht vertrauenswürdiger Daten in der FAISS-Komponente zulässt, beliebigen Code auf dem System ausführen. CVSS-Basiswert: 8.8 (Hoch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.1 enthält eine unauthentifizierte Remote-Code-Execution-Schwachstelle im öffentlichen Flow-Build-Endpunkt (/api/v1/build_public_tmp/{flow_id}/flow). CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine korrigierte Langflow-Version aktualisieren.

In IBM Langflow OSS (Versionen 1.0.0 bis 1.10.3) besteht laut NVD eine Schwachstelle in der AST-basierten Sicherheitsprüfung von Python-Code. Ein entfernter, authentifizierter Angreifer kann dadurch aufgrund unzureichender Validierung beliebigen Code zur Ausführung bringen. CVSS-Basiswert: 8.8 (Hoch).

In IBM Langflow OSS 1.0.0 bis 1.10.1 kann ein authentifizierter Benutzer aufgrund unzureichender Validierung benutzerdefinierter Eingaben beliebige Befehle mit erhöhten Rechten auf dem System ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald diese verfügbar ist.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.3 erlaubt einem entfernten Angreifer aufgrund unzureichender Validierung von Konfigurationsparametern die Ausführung beliebigen Codes. CVSS-Basiswert: 7.2 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Betroffen sind laut Zuordnung ausserdem die überwachten Produktbereiche SimpleHelp Ltd und Light Code Labs (Caddy).