Langflow: dvě kritické chyby bez přihlášení, oprava ve verzi 1.13.0

Co se stalo

Langflow je otevřený nástroj pro vizuální skládání AI agentů a aplikací nad jazykovými modely. IBM ho vydává jako IBM Langflow OSS a běží na Windows, Linuxu i macOS; instaluje se jako balíček z pipu nebo kontejner Docker.

IBM 28. října 2026 zveřejnil bezpečnostní bulletin k Langflow OSS 1.0.0 až 1.12.8. Popisuje čtyři chyby v samotném Langflow a tři chyby v přibalené webové knihovně Hono. Záznamy v databázi NVD vyšly 29. 10. 2026 a NIST je už analyzoval. Slovenský SK-CERT k nim vydal varování V20261103-01 s nejvyšší závažností.

Oprava je ve verzi 1.13.0 z 22. 10. 2026. IBM uvádí, že náhradní řešení neexistuje.

Jak vážné to je

Hodnocení přidělil IBM. CISA u CVE-2026-93680 v hodnocení SSVC uvádí, že zneužití zatím nezaznamenala, útok je ale automatizovatelný a dopad úplný.

Langflow obvykle drží klíče k modelům (OpenAI, Anthropic a další), k databázím a k firemním API. Kdo ovládne server, dostane se ke všemu, na co jsou toky napojené.

Technické podrobnosti

IBM popisuje chyby stručně. Z bulletinu a poznámek k vydání na GitHubu je ověřitelné toto:

• CVE-2026-93680 – obejití ověření. IBM ji spojuje s neúplnou opravou kontroly automatického přihlášení (AUTO_LOGIN). Při automatickém přihlášení Langflow pouští uživatele do rozhraní bez hesla. Verze 1.13.0 tuto volbu ve výchozím nastavení vypnula a CLI varuje, když je zapnutá.
• CVE-2026-110186 – spuštění kódu. Podle IBM jde o nedostatečné omezení generovaného kódu, které dovolí vzdálenému útočníkovi spustit libovolný kód na serveru.
• CVE-2026-110193 – Agentic Assistant. Přihlášený uživatel s nízkými právy může přimět vestavěného asistenta, aby vygeneroval nebo odeslal kód komponenty se vzory, které kontrola neblokovala. Výsledkem jsou příkazy operačního systému na serveru. Poznámky k vydání 1.13.0 zmiňují zpřísnění kontroly kódu asistenta (blokování nebezpečných re-exportů modulů).
• CVE-2026-110192 – přihlášený útočník může získat citlivé údaje, protože přístupové údaje nejsou dostatečně chráněné.
• Knihovna Hono (CVE-2026-84363, -84364, -84365, CVSS 5,3 až 6,5): otrávení mezipaměti a uložené XSS, pád serveru při zanořeném vstupu (ve výchozím nastavení se netýká) a zápis mimo výstupní adresář. Opravené jsou v Hono 4.13.5.

IBM nepíše, jak přesně se jednotlivé chyby spouštějí. Návod ke zneužití tu z principu neuvádíme.

Koho se to týká

Zasažené jsou Langflow OSS 1.0.0 až 1.12.8 na všech platformách (IBM). Nejvíc ohrožené jsou instalace dostupné z internetu a ty, které běží se zapnutým automatickým přihlášením. Pokud máte Langflow jako součást jiného produktu nebo platformy, zeptejte se dodavatele, kterou verzi obsahuje.

Uživatelů hotových AI služeb se chyba přímo netýká, jednat musí ten, kdo Langflow provozuje.

Jak poznat napadení

IBM ani SK-CERT nezveřejnily indikátory napadení. Z popisu chyb podle nás vyplývá, co zkontrolovat:

• Uživatelské účty a API klíče Langflow, které nikdo z vás nezaložil.
• Toky a vlastní komponenty, které neznáte nebo které se nedávno změnily, hlavně komponenty s vlastním kódem.
• Procesy a odchozí spojení spuštěné pod účtem nebo kontejnerem Langflow (shell, stahování skriptů, neznámé adresy).
• Logy přístupu: požadavky na API z neznámých adres, hlavně pokud bylo rozhraní dostupné z internetu.

Adresy a domény z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči. Pokud napadení nejde vyloučit, změňte všechny klíče a hesla, které Langflow měl (klíče k modelům, databázím, cloudu), a server obnovte z čisté instalace.

Co udělat

1. Zjistěte verzi všech instalací Langflow (pip show langflow, značka obrazu Docker).
2. Zálohujte databázi, tajný klíč (secret key) a nahrané soubory – doporučuje IBM před aktualizací.
3. Aktualizujte na Langflow 1.13.0 nebo novější (pip install --upgrade "langflow==1.13.0", obraz langflowai/langflow:1.13.0). Nejnovější 1.13.1 ze 4. 11. 2026 obsahuje další bezpečnostní opravy.
4. Pokud jste používali automatické přihlášení, připravte před aktualizací účet na přihlášení heslem podle návodu IBM. Po aktualizaci nechte AUTO_LOGIN vypnuté.
5. Nenechávejte rozhraní Langflow volně v internetu – přístup jen přes VPN nebo s ověřením na reverzní proxy (naše doporučení).
6. Projděte známky napadení podle předchozí části a vyměňte klíče, pokud si nejste jistí.

Dopad na Slovensko a Česko

SK-CERT k chybám vydal 3. 11. 2026 varování V20261103-01 se závažností „kritická“ a doporučuje okamžitou aktualizaci a po ní změnu hesel a klíčů na dotčeném systému i všude, kde se stejné údaje používaly.

Časová osa

Aktualizace

• 10. 11. 2026 – první verze článku.