CVE-2026-9198 - IBM Langflow OSS Esecuzione Remota di Codice Non Autenticata (RCE)

Vulnerabilità critica di esecuzione remota di codice non autenticata che interessa IBM Langflow OSS.

La vulnerabilità deriva dalla combinazione di due debolezze:

1. /api/v1/auto_login può rilasciare un bearer token privilegiato SUPERUSER a un chiamante di rete non autenticato.
2. /api/v1/validate/code elabora codice Python controllato dall'attaccante in un contesto di esecuzione non sicuro.

Se combinate, queste debolezze possono portare all'esecuzione di codice Python arbitrario con i privilegi del processo backend di Langflow.

La vulnerabilità ha un punteggio CVSS v3.1 di 9.8 (Critico) ed è classificata come CWE-94 — Controllo improprio della generazione di codice.

Versioni interessate

IBM consiglia di aggiornare a Langflow OSS 1.10.1.

Gravità

CVSS: 9.8 Critico

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Catena della vulnerabilità

Unauthenticated attacker
        |
        v
/api/v1/auto_login
        |
        |  SUPERUSER bearer token
        v
/api/v1/validate/code
        |
        |  Unsafe Python evaluation
        v
Remote Code Execution
        |
        v
Langflow backend process

Il problema di sicurezza importante non è semplicemente l'esistenza di uno dei due endpoint. L'impatto deriva dalla combinazione di una primitiva di bypass dell'autenticazione/rilascio di token con un meccanismo non sicuro di validazione del codice.

Impatto sulla sicurezza

Lo sfruttamento riuscito può fornire a un attaccante l'esecuzione di codice nel contesto di sicurezza del backend di Langflow.

A seconda della distribuzione, ciò può esporre:

• Segreti applicativi
• Variabili d'ambiente
• Credenziali API
• File accessibili al processo di Langflow
• Risorse di rete interne
• Servizi AI/LLM connessi
• Database e archivi vettoriali
• Altri servizi raggiungibili dall'host

L'impatto pratico dipende quindi fortemente dai privilegi e dall'accesso di rete disponibili per il processo di Langflow.

Fingerprinting HTTP sicuro

Le seguenti richieste sono pensate per l'identificazione non distruttiva e non contengono un payload di esecuzione di codice.

Verifica del servizio Langflow

GET / HTTP/1.1
Host: TARGET
Accept: */*
Connection: close

Ispezione dei metadati API

GET /docs HTTP/1.1
Host: TARGET
Accept: text/html,*/*
Connection: close

Verifica della rotta auto_login senza fornire un payload di esecuzione

GET /api/v1/auto_login HTTP/1.1
Host: TARGET
Accept: application/json
Connection: close

Per i test difensivi, registra il codice di stato, le intestazioni e la struttura della risposta, invece di tentare di utilizzare eventuali credenziali restituite.

Richiesta orientata al rilevamento

Un pattern di telemetria difensiva utile è:

/api/v1/auto_login
        followed shortly by
/api/v1/validate/code

Una sorgente che effettua queste richieste senza il normale traffico frontend di Langflow attorno a esse merita particolare attenzione.

Cosa non fare in produzione

Non testare la vulnerabilità inviando Python arbitrario a /api/v1/validate/code contro un'istanza di produzione.

Un flusso di lavoro di verifica sicuro è:

1. Identify the Langflow version
2. Confirm whether it is <= 1.10.0
3. Review access logs for the affected endpoints
4. Check for unexpected SUPERUSER token issuance
5. Check process/application logs for suspicious Python execution
6. Upgrade to 1.10.1
7. Rotate potentially exposed credentials
8. Investigate the host if exploitation is suspected

Rilevamento

Monitorare:

POST /api/v1/validate/code
GET  /api/v1/auto_login
POST /api/v1/auto_login

Il comportamento particolarmente sospetto include:

• Richieste non autenticate a /api/v1/auto_login
• Risposte 200 OK contenenti un access_token
• Una richiesta auto_login immediatamente seguita da /api/v1/validate/code
• Richieste provenienti da indirizzi esterni inattesi
• User agent non browser
• Messaggi di errore relativi a Python/codice nelle risposte di Langflow
• Processi figli inattesi generati dal servizio Langflow

Rimedio

Aggiorna Langflow OSS a:

1.10.1 or later

IBM raccomanda specificamente di aggiornare alla versione 1.10.1.

Se si sospetta uno sfruttamento, l'applicazione della patch da sola non dovrebbe essere considerata sufficiente. Esaminare i log e la telemetria dell'host e ruotare i segreti che potrebbero essere stati accessibili al processo di Langflow.

Divulgazione / Stato

• CVE: CVE-2026-9198
• CWE: CWE-94
• Gravità: Critico
• CVSS: 9.8
• Versioni interessate: Langflow OSS 1.0.0–1.10.0
• Corretta: 1.10.1
• CISA KEV: Sì
• Sfruttamento: Segnalato come attivo

CISA ha aggiunto CVE-2026-9198 al proprio catalogo Known Exploited Vulnerabilities il 4 agosto 2026.

Riferimenti

• NVD: CVE-2026-9198
• Bollettino di sicurezza IBM: Esecuzione remota di codice non autenticata tramite bypass dell'auto-login e validazione del codice
• Avviso GitHub: GHSA-5wm9-vgmg-cjv6
• Catalogo CISA Known Exploited Vulnerabilities

Esclusione di responsabilità

Questo repository è destinato a ricerca sulla sicurezza autorizzata, analisi delle vulnerabilità, ingegneria del rilevamento e ambienti di laboratorio controllati.