CVE-2026-9198 - Exécution de code à distance (RCE) non authentifiée dans IBM Langflow OSS

Vulnérabilité critique d'exécution de code à distance non authentifiée affectant IBM Langflow OSS.

La vulnérabilité résulte de l'enchaînement de deux faiblesses :

1. /api/v1/auto_login peut délivrer un jeton porteur SUPERUSER privilégié à un appelant réseau non authentifié.
2. /api/v1/validate/code traite du code Python contrôlé par l'attaquant dans un contexte d'exécution non sécurisé.

Enchaînées, ces faiblesses peuvent aboutir à l'exécution de code Python arbitraire avec les privilèges du processus backend Langflow.

La vulnérabilité a un score CVSS v3.1 de 9.8 (Critique) et est classifiée comme CWE-94 — Contrôle inadéquat de la génération de code.

Versions concernées

IBM recommande de mettre à niveau vers Langflow OSS 1.10.1.

Sévérité

CVSS : 9.8 Critique

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Chaîne de la vulnérabilité

Attaquant non authentifié
        |
        v
/api/v1/auto_login
        |
        |  jeton porteur SUPERUSER
        v
/api/v1/validate/code
        |
        |  Évaluation Python non sécurisée
        v
Exécution de code à distance
        |
        v
Processus backend Langflow

Le problème de sécurité important n'est pas simplement l'existence de l'un ou l'autre de ces points de terminaison. L'impact provient de la combinaison d'une primitive de contournement de l'authentification / d'émission de jeton avec un mécanisme non sécurisé de validation de code.

Impact sur la sécurité

Une exploitation réussie peut fournir à un attaquant une exécution de code dans le contexte de sécurité du backend Langflow.

Selon le déploiement, cela peut exposer :

• Secrets applicatifs
• Variables d'environnement
• Identifiants API
• Fichiers accessibles au processus Langflow
• Ressources réseau internes
• Services IA/LLM connectés
• Bases de données et magasins de vecteurs
• Autres services accessibles depuis l'hôte

L'impact pratique dépend donc fortement des privilèges et de l'accès réseau dont dispose le processus Langflow.

Prise d'empreinte HTTP sûre

Les requêtes suivantes sont destinées à une identification non destructive et ne contiennent pas de charge utile d'exécution de code.

Vérifier le service Langflow

GET / HTTP/1.1
Host: TARGET
Accept: */*
Connection: close

Inspecter les métadonnées de l'API

GET /docs HTTP/1.1
Host: TARGET
Accept: text/html,*/*
Connection: close

Vérifier la route auto-login sans fournir de charge utile d'exécution

GET /api/v1/auto_login HTTP/1.1
Host: TARGET
Accept: application/json
Connection: close

Pour un test défensif, relevez le code de statut, les en-têtes et la structure de la réponse plutôt que de chercher à utiliser d'éventuels éléments d'identification renvoyés.

Requête orientée détection

Un schéma de télémétrie défensive utile est :

/api/v1/auto_login
        suivi peu après par
/api/v1/validate/code

Une source émettant ces requêtes sans le trafic frontal Langflow normal qui les entoure mérite particulièrement d'être investiguée.

Ce qu'il ne faut pas faire en production

Ne testez pas la vulnérabilité en soumettant du code Python arbitraire à /api/v1/validate/code contre une instance de production.

Une procédure de validation sûre est :

1. Identifier la version de Langflow
2. Confirmer si elle est <= 1.10.0
3. Examiner les journaux d'accès des points de terminaison concernés
4. Vérifier toute émission inattendue de jeton SUPERUSER
5. Rechercher dans les journaux du processus/de l'application toute exécution Python suspecte
6. Mettre à niveau vers 1.10.1
7. Renouveler les identifiants potentiellement exposés
8. Investiguer l'hôte si une exploitation est suspectée

Détection

Surveillez :

POST /api/v1/validate/code
GET  /api/v1/auto_login
POST /api/v1/auto_login

Les comportements particulièrement suspects incluent :

• Les requêtes non authentifiées vers /api/v1/auto_login
• Les réponses 200 OK contenant un access_token
• Une requête auto_login immédiatement suivie de /api/v1/validate/code
• Les requêtes provenant d'adresses externes inattendues
• Les user agents autres que les navigateurs
• Les messages d'erreur liés à Python ou au code dans les réponses Langflow
• Les processus enfants inattendus lancés par le service Langflow

Remédiation

Mettez à niveau Langflow OSS vers :

1.10.1 ou version ultérieure

IBM recommande spécifiquement de mettre à niveau vers 1.10.1.

Si une exploitation est suspectée, l'application du correctif à elle seule ne doit pas être considérée comme suffisante. Examinez les journaux et la télémétrie de l'hôte, et renouvelez les secrets qui ont pu être accessibles au processus Langflow.

Divulgation / Statut

• CVE : CVE-2026-9198
• CWE : CWE-94
• Sévérité : Critique
• CVSS : 9.8
• Affecté : Langflow OSS 1.0.0–1.10.0
• Version corrigée : 1.10.1
• CISA KEV : Oui
• Exploitation : Signalée comme active

La CISA a ajouté CVE-2026-9198 à son catalogue des vulnérabilités connues exploitées (KEV) le 4 août 2026.

Références

• NVD : CVE-2026-9198
• Bulletin de sécurité IBM : Exécution de code à distance non authentifiée via le contournement de l'auto-login et la validation de code
• Avis GitHub : GHSA-5wm9-vgmg-cjv6
• Catalogue des vulnérabilités connues exploitées (KEV) de la CISA

Avertissement

Ce dépôt est destiné à la recherche en sécurité autorisée, à l'analyse de vulnérabilités, à l'ingénierie de détection et aux environnements de laboratoire contrôlés.