Langflow OSS: štyri kritické chyby, jedna umožňuje spustiť kód bez prihlásenia

Čo sa stalo

Langflow je open-source nástroj na skladanie aplikácií s umelou inteligenciou, napríklad chatbotov, AI agentov alebo vyhľadávania vo firemných dokumentoch. Ovláda sa cez webové rozhranie, v ktorom sa jednotlivé kroky spájajú do takzvaných tokov (flows). Bezpečnostné bulletiny a opravy pre Langflow OSS vydáva spoločnosť IBM.

IBM 28. októbra 2026 zverejnil bulletin o viacerých zraniteľnostiach vo verziách 1.0.0 až 1.12.8 a 29. októbra 2026 ho doplnil. Najzávažnejšie sú CVE-2026-110186, ktorá podľa IBM umožňuje vzdialenému útočníkovi spustiť ľubovoľný kód, a CVE-2026-93680, ktorá pre chybné overovanie prihlásenia umožňuje obísť bezpečnostné obmedzenia. Databáza NVD ich zverejnila 29. októbra 2026.

Už 19. októbra 2026 vydal IBM samostatný bulletin pre verzie 1.0.0 až 1.12.4. Sú v ňom okrem iného chyby CVE-2026-107327 a CVE-2026-107329, ktoré umožňujú spustiť kód útočníkovi s bežným účtom v Langflow.

IBM ani americká agentúra CISA k dátumu písania neuvádzajú, že by útočníci tieto chyby aktívne zneužívali. Európska databáza zraniteľností EUVD agentúry ENISA ich vedie ako EUVD-2026-113134, EUVD-2026-113155, EUVD-2026-113137 a EUVD-2026-113135, takisto bez záznamu o zneužívaní.

Prečo je to nebezpečné

Dve zo štyroch chýb, CVE-2026-110186 a CVE-2026-107329, sú typu „code injection“ (CWE-94). Aplikácia teda nedostatočne kontroluje, aký kód vytvorí a spustí. CVE-2026-93680 je chyba overovania prihlásenia (CWE-287) a CVE-2026-107327 chýbajúca kontrola oprávnení (CWE-862). Predstavte si kuchára, ktorý uvarí čokoľvek, čo mu niekto napíše na lístok, a neoverí, kto ho poslal. Ak útočník podstrčí vlastný „recept“, server ho poslušne vykoná.

Pri CVE-2026-110186 a CVE-2026-93680 podľa hodnotenia IBM útočník nepotrebuje prihlásenie ani spoluprácu používateľa a útok ide cez sieť. IBM v súhrne bulletinu spomína neúplnú opravu automatického prihlásenia (auto-login), únik API kľúčov bez zamýšľanej autorizácie a spustenie kódu bez prihlásenia cez vypisovanie nástrojov protokolu MCP (Model Context Protocol). Dopad na dôvernosť, integritu aj dostupnosť IBM hodnotí ako vysoký.

CVSS je stupnica od 0 do 10, ktorá vyjadruje závažnosť zraniteľnosti. Hodnoty od 9 vyššie znamenajú kritickú chybu. IBM ako výrobca pridelil podľa CVSS verzie 3.1 hodnotu 9,8 chybám CVE-2026-110186 a CVE-2026-93680 a hodnotu 9,9 chybám CVE-2026-107327 a CVE-2026-107329. Pri posledných dvoch útočník potrebuje bežný účet, dopad však môže presiahnuť samotnú aplikáciu.

Katalóg CISA KEV je zoznam chýb, ktorých zneužívanie v praxi americká agentúra CISA potvrdila. Tieto chyby v ňom k dátumu písania nie sú. Skóre EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. Pre tieto chyby zatiaľ nie je k dispozícii. Langflow však môže uchovávať API kľúče k AI službám a IBM spomína aj ich možný únik. Aktualizáciu preto neodkladajte.

Koho sa to týka

Zasiahnutý je Langflow OSS vo verziách 1.0.0 až 1.12.8 (CVE-2026-110186, CVE-2026-93680). Chyby CVE-2026-107327 a CVE-2026-107329 sa týkajú verzií 1.0.0 až 1.12.4. IBM uvádza platformy Linux, Windows a Mac OS.

Langflow zvyčajne beží na firemnom serveri, na virtuálnom stroji v cloude alebo v Docker kontajneri, kde ho vývojári a analytici používajú na stavbu chatbotov a AI agentov. Najviac ohrozené sú inštalácie dostupné z internetu. Server vo vnútornej sieti je však zraniteľný voči každému, kto sa do siete už dostal. Myslite aj na testovacie inštalácie, ktoré niekto spustil „len na vyskúšanie“ a zabudol na ne.

Verzia 1.13.0 je podľa IBM opravená. Firiem, ktoré Langflow nepoužívajú, sa tieto chyby netýkajú.

Ako zistiť, či ste zasiahnutí

Ak Langflow beží ako balík Pythonu, verziu zistíte týmto príkazom. Spustite ho v tom istom virtuálnom prostredí, v ktorom je Langflow nainštalovaný:

pip show langflow

Ak beží v Dockeri, najprv si vypíšte bežiace kontajnery a ich obrazy:

docker ps --format "{{.Names}}  {{.Image}}"

Ak obraz nemá v názve číslo verzie (napríklad značka latest), zistite verziu priamo v kontajneri. Namiesto NAZOV_KONTAJNERA doplňte názov z predchádzajúceho výpisu. Príkaz vypíše len číslo verzie:

docker exec NAZOV_KONTAJNERA python -c "import importlib.metadata as m; print(m.version('langflow'))"

Ak je verzia v rozsahu 1.0.0 až 1.12.8, inštalácia je zraniteľná. Verzie 1.0.0 až 1.12.4 zasahujú všetky štyri chyby. Tieto príkazy nič nemenia, iba čítajú informácie.

Ako to opraviť

IBM dôrazne odporúča aktualizovať Langflow OSS na verziu 1.13.0, ktorá rieši všetky štyri kritické chyby. Verzia 1.12.5 opravuje len chyby z bulletinu z 19. októbra 2026, nie CVE-2026-110186 a CVE-2026-93680. Dočasné riešenie, ktoré by nahradilo aktualizáciu, IBM pre novšie chyby neposkytuje.

Zálohujte databázu, tajný kľúč (secret key) a nahrané súbory.
Ak používate automatické prihlásenie (auto-login), pripravte existujúci účet na prihlasovanie heslom podľa návodu IBM na inštaláciu a na aktualizáciu v Dockeri.
Prečítajte si poznámky k vydaniu 1.13.0.
Inštalácia cez Python: aktualizujte príkazom nižšie.
Docker: použite obraz langflowai/langflow:1.13.0, stiahnite ho a reštartujte nasadenie tak, aby zostali zachované trvalé dáta.
Po aktualizácii znova overte verziu a otestujte svoje toky.

pip install --upgrade "langflow==1.13.0"

Ak používate MCP stdio, IBM v bulletine z 19. októbra 2026 odporúča popri aktualizácii nastaviť premenné prostredia LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true a LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true a službu reštartovať. Tieto nastavenia aktualizáciu nenahrádzajú a môžu si vyžiadať úpravu konfigurácie MCP serverov. Pri verejných tokoch ponechajte predvolené obmedzenie a nezapínajte LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS.

Kým aktualizáciu nestihnete, ako všeobecné opatrenie pomôže odpojiť Langflow od internetu a sprístupniť ho iba cez VPN alebo vnútornú sieť. Aktualizáciu to nenahrádza. Postupujte v poradí: najprv servery dostupné z internetu, potom interné a testovacie inštalácie.

Čo ak už ste mohli byť napadnutí

IBM v bulletinoch neuvádza konkrétne indikátory napadnutia. Ak bol zraniteľný Langflow dostupný z internetu, počítajte s tým, že ho niekto mohol skúšať. Pozrite sa na:

neznáme používateľské účty v Langflow alebo nečakané zmeny oprávnení
nové alebo upravené toky a vlastné komponenty s kódom v Pythone, ktoré nikto z tímu nevytvoril
logy Langflow a reverznej proxy, najmä nezvyčajné požiadavky z neznámych IP adries
neznáme procesy, nové súbory a nezvyčajné odchádzajúce spojenia zo servera alebo kontajnera
neobvyklú spotrebu u poskytovateľov AI služieb, ktorá môže prezradiť zneužitie ukradnutého API kľúča

Ak bol Langflow zraniteľný a dostupný z internetu, vymeňte všetky API kľúče a heslá, ktoré v ňom boli uložené. V bulletine z 19. októbra 2026 IBM pri ďalšej chybe CVE-2026-77817, opravenej vo verzii 1.11.5, upozorňuje, že prihlasovacie údaje v skôr exportovaných tokoch a projektoch treba zrušiť alebo vymeniť. Aktualizácia ich z už exportovaných kópií neodstráni. Ak nájdete stopy napadnutia, server odpojte od siete, nemažte dôkazy a prizvite odborníka na riešenie bezpečnostných incidentov.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.