Langflow

In Langflow ermöglicht die Verarbeitung des exec_globals-Parameters am validate-Endpunkt das Einbinden von Funktionalität aus einer nicht vertrauenswürdigen Quelle und dadurch Remote Code Execution. Eine Authentifizierung ist zur Ausnutzung nicht erforderlich; ein Angreifer kann Code im Kontext von root ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Auf eine bereinigte Version aktualisieren, sobald verfügbar.

In Langflow OSS besteht in der ToolGuard-Integration der Policies-Komponente eine Code-Injection-Schwachstelle. Betroffen sind laut Quelle die Versionen 1.0.0 bis 1.10.0 beziehungsweise bis 1.9.2 (Commit 94981c443d4918517b9e8163d70fc598dc33a32d). Ein Angreifer kann darüber eigenen Code einschleusen und ausführen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

Langflow ist ein Werkzeug zum Erstellen und Betreiben von KI-Agenten und Workflows. In Versionen vor 1.9.2 enthält die Funktion Shareable Playground (im Code Public Flows) eine kritische Schwachstelle zur Remote Code Execution. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Langflow 1.9.2 oder neuer aktualisieren.

In Langflow OSS (Versionen 1.0.0 bis 1.10.0) erlaubt ein Fehler in der Authentifizierungslogik für Webhooks nicht authentifizierten Benutzern, die Ausführung beliebiger Flows auszulösen. Das System umgeht die Authentifizierung dabei fälschlicherweise. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: betroffene Installation auf eine bereinigte Version aktualisieren.

IBM Langflow OSS 1.0.0 bis 1.9.3 kombiniert eine unzureichende Isolation der Python-Ausführung mit einer Authentifizierungsumgehung. Ein nicht authentifizierter Angreifer kann dadurch beliebigen Code ausführen. CVSS-Basiswert: 10 (Kritisch) bei netzbasiertem Angriffsvektor ohne erforderliche Authentifizierung oder Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.9.3 aktualisieren.

In IBM Langflow OSS 1.0.0 bis 1.10.0 besteht eine kritische Remote-Code-Execution-Schwachstelle im plattenbasierten Caching-Mechanismus. Die Klasse AsyncDiskCache nutzt die unsichere Python-Funktion pickle.loads(), wodurch beim Deserialisieren nicht vertrauenswürdiger Cache-Daten beliebiger Code ausgeführt werden kann. CVSS-Basiswert: 9.9 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis einschliesslich 1.10.0 enthält eine kritische Schwachstelle zur entfernten Codeausführung im Endpunkt zur Code-Validierung. Der Endpunkt POST /api/v1/validate/code nimmt von Benutzern übermittelten Python-Code entgegen, wodurch Angreifer beliebigen Code ausführen können. CVSS-Basiswert: 9.9 (Kritisch). Betroffene Installationen sollten auf eine bereinigte Version aktualisiert und der Zugriff auf den Validierungs-Endpunkt eingeschränkt werden.

In Langflow OSS 1.0.0 bis 1.10.0 erlaubt eine unzureichende Authentifizierung am Endpunkt /api/v1/login/auto_login einem entfernten Angreifer unautorisierten Zugriff. Über das Netzwerk lassen sich ohne Anmeldedaten Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine Version neuer als 1.10.0.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In Versionen vor 1.9.2 kann ein Angreifer, der die in den RAG-Prozess eingelesenen Dateien kontrolliert, den betreffenden Knoten dazu bringen, beliebige Dateien zu lesen. CVSS-Basiswert: 9.6 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Langflow 1.9.2.

IBM Langflow OSS 1.0.0 bis 1.10.0 erlaubt Nutzern mit Redis-Zugriff, beliebigen Code mit vollen Anwendungsrechten auszuführen und damit sämtliche Geheimnisse, Daten und die Systemintegrität zu kompromittieren. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.1 ermöglicht die Ausführung von beliebigem Code aus der Ferne durch eine unsachgemässe Validierung symbolischer Links beim Entpacken von Archiven. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Langflow OSS (Versionen 1.0.0 bis 1.10.0) erlaubt eine unzureichende Eingabevalidierung in der APIRequest-Komponente das Schreiben beliebiger Dateien an unerwünschte Speicherorte. Über diese Path-Traversal-Schwachstelle kann ein Angreifer Dateien ausserhalb des vorgesehenen Verzeichnisses ablegen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: betroffene Installation auf eine bereinigte Version aktualisieren.

Langflow ist ein Werkzeug zum Bauen und Betreiben von KI-gestützten Agenten und Workflows. In Versionen vor 1.9.1 können nicht authentifizierte Nutzer beliebige Datenmengen auf den Server hochladen, ohne dass eine Begrenzung greift. Der CVSS-Vektor weist entsprechend eine hohe Auswirkung auf die Verfügbarkeit aus. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Langflow 1.9.1 oder neuer aktualisieren.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.3 erlaubt einem Angreifer laut NVD, sämtliche für den Langflow-Prozess verfügbaren Secrets auszulesen sowie alle Flows, Konversationen, Nachrichten, Datei-Uploads und gespeicherten Komponenten zu lesen und zu verändern. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Langflow auf eine Version oberhalb von 1.9.3 heben.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 erlaubt laut NVD authentifizierten Angreifern, beliebige Betriebssystembefehle auszuführen und sensible Dateien einschliesslich Zugangsdaten zu lesen. Das ermöglicht die vollständige Kompromittierung des Systems und laterale Bewegung im Netz. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Langflow auf eine Version oberhalb von 1.10.0 heben und exponierte Instanzen vom Netz nehmen.

In IBM Langflow OSS 1.0.0 bis 1.10.0 können authentifizierte Benutzer ihre Rechte bis zum Superuser ausweiten, indem sie die Datenbank direkt manipulieren. Dadurch lassen sich beliebige Systembefehle ausführen und die vollständige Kontrolle über das System erlangen. Betroffen sind sämtliche Installationen der genannten Versionsspanne. CVSS-Basiswert: 9.9 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.8.4 setzt die Autorisierung im Streamable-Transport unzureichend durch. Nicht authentifizierte Angreifer können dadurch auf geschützte MCP-Projektressourcen zugreifen und MCP-Operationen ausführen. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.1 enthält hartkodierte Zugangsdaten wie ein Passwort oder einen kryptografischen Schlüssel, die für die eigene eingehende Authentifizierung und die ausgehende Kommunikation mit externen Komponenten verwendet werden. Solche fest eingebetteten Geheimnisse können von Angreifern extrahiert und zur Umgehung der Authentifizierung missbraucht werden. CVSS-Basiswert: 9.8 (Kritisch). Betroffene Installationen sollten auf eine bereinigte Version aktualisiert werden.

Der Voice-Mode von IBM Langflow OSS 1.0.0 bis 1.10.0 verwaltet gemeinsam genutzten Zustand fehlerhaft, sodass API-Clients über Mandantengrenzen hinweg wiederverwendet werden. Ein authentifizierter Angreifer kann laut NVD den Cache-Zustand manipulieren. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

IBM Langflow OSS 1.0.0 bis 1.10.0 kann laut NVD die Offenlegung aller gespeicherten Zugangsdaten ermöglichen, da für die Verschlüsselung im Ruhezustand ein schwaches und umkehrbares Schlüsselableitungsverfahren verwendet wird. Der Angriff ist netzwerkbasiert ohne Authentifizierung möglich und wirkt sich hoch auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In IBM Langflow OSS 1.0.0 bis 1.10.0 können nicht authentifizierte Angreifer unbegrenzt Benutzerkonten auf beliebigen Langflow-Instanzen anlegen. Ist die dokumentierte Bereitstellungsoption NEW_USER_IS_ACTIVE=true gesetzt, werden neu erstellte Konten unmittelbar aktiv. Dies eröffnet Angreifern ohne vorherige Anmeldung Zugang zur Anwendung. CVSS-Basiswert: 9.8 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 erlaubt nicht authentifizierten Angreifern, den Endpunkt /api/v1/auto_login (der jedem Netzwerkaufrufer SUPERUSER-Token ausstellt) mit /api/v1/validate/code (der übermittelten Code ausführt) zu verketten. Dadurch lässt sich aus der Ferne ohne Authentifizierung beliebiger Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Betroffene Installationen sollten aktualisiert und der Zugriff auf die genannten Endpunkte eingeschränkt werden.

Langflow ist ein Tool zum Erstellen und Bereitstellen von KI-gestützten Agenten und Workflows. Vor Version 1.9.0 ist die Knowledge-Bases-API (DELETE /api/v1/knowledge_bases) anfällig für Path Traversal, da nutzerseitig angegebene Knowledge-Base-Namen ohne Bereinigung oder Grenzprüfung direkt in Dateipfade eingesetzt werden. Ein authentifizierter Angreifer kann dadurch beliebige Verzeichnisse auf dem Server-Dateisystem löschen, was zu Datenverlust und Serviceausfall führen kann. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Update auf Langflow 1.9.0 oder neuer.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In Versionen vor 1.9.0 führt die Funktion Agentic Assistant vom LLM erzeugten Python-Code während einer Validierungsphase aus. Die Implementierung erreicht dabei dynamische Ausführungspfade und instanziiert die erzeugte Klasse serverseitig, sodass ein Angreifer mit Zugriff auf die Funktion beliebigen serverseitigen Python-Code ausführen kann. Der Fehler wurde in Version 1.9.0 behoben. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Langflow 1.9.0 aktualisieren.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. In den Versionen 1.2.0 bis 1.8.1 lässt sich der Patch für CVE-2025-68478 umgehen, da dem LocalStorageService die Grenzprüfung fehlt und der Schutz allein auf der HTTP-Ebene liegt. Der Endpunkt POST /api/v2/files/ ist dadurch für Arbitrary File Write anfällig: Über den Multipart-Dateinamen können authentifizierte Angreifer Dateien an beliebige Orte des Hosts schreiben, was zu Remote Code Execution führt. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Version 1.9.0 aktualisieren, die den korrigierten Fix enthält.

Langflow ist ein Werkzeug zum Erstellen und Bereitstellen KI-gestützter Agenten und Workflows. Vor Version 1.9.0 besteht in mehreren GitHub-Actions-Workflows des Repositorys eine unauthentifizierte, entfernte Shell-Injection: Nicht bereinigte Interpolation von GitHub-Kontextvariablen (etwa github.head_ref) in run-Schritten erlaubt Angreifern, über einen bösartigen Branch-Namen oder Pull-Request-Titel beliebige Shell-Befehle einzuschleusen und auszuführen. Dies kann zur Exfiltration von Secrets (etwa GITHUB_TOKEN), zu Infrastrukturmanipulation oder zu Supply-Chain-Kompromittierung während der CI/CD-Ausführung führen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 1.9.0 aktualisieren.

Langflow dient zum Erstellen und Bereitstellen von KI-Agenten und Workflows. Vor Version 1.8.0 setzt der CSV-Agent-Knoten allow_dangerous_code fest auf True und stellt damit automatisch das Python-REPL-Werkzeug (python_repl_ast) bereit. Dadurch kann ein Angreifer über Prompt-Injection beliebige Python- und Betriebssystembefehle auf dem Server ausführen, was zu vollständiger Remote Code Execution führt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.8.0.

Langflow erlaubt nicht authentifizierten Angreifern aus der Ferne die Ausführung beliebigen Codes. Die Schwachstelle liegt in der Verarbeitung des an den validate-Endpunkt übergebenen code-Parameters: Eine benutzergesteuerte Zeichenkette wird ohne ausreichende Prüfung zur Ausführung von Python-Code verwendet, wodurch Code im Kontext von root ausgeführt werden kann. Eine Authentifizierung ist nicht erforderlich. CVSS-Basiswert: 9.8 (Kritisch).

In Langflow ermöglicht die Funktion eval_custom_component_code eine Eval-Injection und damit die Ausführung von Schadcode aus der Ferne. Ursache ist die fehlende Validierung einer benutzergelieferten Zeichenkette, bevor sie als Python-Code ausgeführt wird; eine Authentifizierung ist nicht erforderlich. Ein Angreifer kann so Code im Kontext des laufenden Prozesses ausführen. CVSS-Basiswert: 9.8 (Kritisch).

In Langflow vor Version 1.7.0.dev45 fehlen mehreren kritischen API-Endpunkten Authentifizierungskontrollen. Dadurch kann ein beliebiger nicht authentifizierter Nutzer auf sensible Konversationsdaten und Transaktionsverläufe zugreifen sowie destruktive Operationen wie das Löschen von Nachrichten ausführen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 1.7.0.dev45.

Langflow bis einschliesslich Version 1.0.18 ist für Remote-Code-Ausführung anfällig, da jede Komponente eine Code-Funktionalität bereitstellt und die Komponenten auf der lokalen Maschine statt in einer Sandbox ausgeführt werden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen und den Zugriff auf die Anwendung einschränken.

In langflow v1.0.12 wurde über die Komponente PythonCodeTool eine Schwachstelle zur Remotecodeausführung entdeckt. CVSS-Basiswert: 9.8 (Kritisch).

Langflow bis einschliesslich Version 0.6.19 erlaubt die Ausführung von Remotecode, wenn nicht vertrauenswürdige Benutzer den Endpunkt POST /api/v1/custom_component erreichen und ein Python-Skript übergeben können. CVSS-Basiswert: 9.8 (Kritisch).

IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.1 enthält eine unauthentifizierte Remote-Code-Execution-Schwachstelle im öffentlichen Flow-Build-Endpunkt (/api/v1/build_public_tmp/{flow_id}/flow). CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine korrigierte Langflow-Version aktualisieren.

In IBM Langflow OSS 1.0.0 bis 1.10.1 kann ein authentifizierter Benutzer aufgrund unzureichender Validierung benutzerdefinierter Eingaben beliebige Befehle mit erhöhten Rechten auf dem System ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald diese verfügbar ist.

In IBM Langflow OSS Version 1.0.0 bis 1.10.0 kann eine Schwachstelle zur Remotecodeausführung führen. Ursache ist eine unvollständige Validierung bei der Verarbeitung von MCP-Server-Konfigurationsdateien. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerupdates einspielen.

In IBM Langflow OSS 1.0.0 bis 1.10.0 kann ein authentifizierter Angreifer beliebige Dateien lesen, darunter den JWT-Signierschlüssel, und damit Authentifizierungs-Token für beliebige Benutzer fälschen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In IBM Langflow OSS 1.0.0 bis 1.10.0 kann ein authentifizierter Angreifer einen bösartigen Flow anlegen, der auf eine angreiferkontrollierte URL verweist und einen speziell präparierten Content-Disposition-Header zurückliefert. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald diese verfügbar ist.

IBM Langflow OSS 1.0.0 bis 1.10.0 erlaubt authentifizierten Nutzern, über die API zur Laufzeit Komponentenparameter zu überschreiben. Ursache ist eine Schwachstelle im Mechanismus zur Parameterfilterung. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM Langflow OSS 1.0.0 bis 1.10.1 ermöglicht einem authentifizierten Angreifer, über die Komponente SaveToFile durch Angabe absoluter Pfade fremde hochgeladene Dateien anderer Nutzer zu lesen und zu verändern. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In IBM Langflow OSS Version 1.0.0 bis 1.10.0 (Langflow 1.9.0) kann eine Schwachstelle Server-Side Request Forgery (SSRF) ermöglichen. Ursache sind eine unsichere Standardkonfiguration und eine unvollständige Durchsetzung des SSRF-Schutzmechanismus. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Herstellerupdates einspielen.

IBM Langflow OSS (Versionen 1.0.0 bis 1.9.3) enthält in der API-Request-Komponente eine Schwachstelle, mit der sich der SSRF-Schutz umgehen lässt. Ein authentifizierter Angreifer mit geringen Rechten kann durch Aktivieren des Parameters follow_redirects und Angabe einer öffentlichen URL, die auf interne beziehungsweise localhost-Adressen weiterleitet, den Schutz aushebeln, da nur die ursprüngliche URL, nicht aber das Redirect-Ziel geprüft wird. So lassen sich interne HTTP-Dienste, localhost-Endpunkte, Cloud-Metadatendienste und private Netzwerkressourcen erreichen; eine erfolgreiche Ausnutzung kann sensible Informationen wie Zugangsdaten und Tokens preisgeben. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: auf eine bereinigte Langflow-Version aktualisieren.

IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.6 weist in den Endpunkten /api/v1/build_public_tmp/ eine fehlende Authentifizierungsprüfung auf. Ein unauthentifizierter Angreifer kann mit einer gültigen Job-ID Build-Event-Daten auslesen oder laufende Jobs abbrechen. Dies führt zu Informationsoffenlegung und einem Denial-of-Service. CVSS-Basiswert: 8.2 (Hoch).

IBM Langflow OSS 1.0.0 bis 1.9.6 enthält eine Server-Side Request Forgery: Die veraltete RSSReaderComponent in rss.py und die SearXNG-Komponente in searxng.py stellen unvalidierte HTTP-Anfragen an nutzergesteuerte URLs und umgehen damit die in Version 1.9.3 eingeführten SSRF-Schutzmassnahmen. Ein authentifizierter Angreifer kann so auf interne Ressourcen einschliesslich Cloud-Metadaten-Dienste (AWS/Azure/GCP IMDS) zugreifen und IAM-Zugangsdaten abgreifen. Die Schwachstelle lässt sich zudem über Prompt-Injection in agentischen Workflows auslösen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: eine korrigierte Version einspielen.

Langflow stellt vor Version 1.9.0 im Router /api/v1/monitor sieben Endpunkte bereit, die Lese-, Schreib- und Löschoperationen auf benutzereigenen Ressourcen ausführen, ohne die Eigentümerschaft des authentifizierten Anfragenden zu prüfen. Jeder authentifizierte Benutzer kann so Nachrichten, Sitzungen, Build-Artefakte und Transaktionsprotokolle anderer Benutzer lesen, ändern, umbenennen oder dauerhaft löschen, indem er die Ressourcen- oder flow_id angibt. Der CVSS-Basiswert liegt bei 8.8 (Hoch). Empfohlene Massnahme: auf Langflow 1.9.0 aktualisieren.

IBM Langflow Desktop in den Versionen 1.0.0 bis 1.8.4 erlaubt einem Angreifer die Ausführung beliebiger Befehle mit den Rechten des Langflow-Prozesses. Dadurch können sensible Umgebungsvariablen wie API-Schlüssel und Datenbank-Zugangsdaten ausgelesen, Dateien verändert und weitere Angriffe im internen Netz gestartet werden. CVSS-Basiswert: 8.8 (Hoch).

In IBM Langflow Desktop 1.6.0 bis 1.8.2 kann ein authentifizierter Nutzer aufgrund einer unsicheren Standardeinstellung, die die Deserialisierung nicht vertrauenswürdiger Daten in der FAISS-Komponente zulässt, beliebigen Code auf dem System ausführen. CVSS-Basiswert: 8.8 (Hoch).