KIberblick

Langflow: Lücken ohne Login, Update auf 1.13

IBM meldet für Langflow zwei Lücken mit CVSS 9.8, ausnutzbar ohne Konto. Betroffen sind 1.0.0 bis 1.12.8, nur 1.13.0 schützt. Was Betreiber tun sollten.

Entwickler:inQA / Tester:in
3. November 20264 Min. Lesezeit

Wer Langflow selbst betreibt, sollte heute updaten. IBM, der Hersteller des Low-Code-Baukastens für KI-Agenten und Workflows, hat am 28.10.2026 ein Sicherheitsbulletin mit vier eigenen Lücken veröffentlicht. Zwei davon sind mit CVSS 9.8 bewertet und lassen sich ohne Konto ausnutzen. Betroffen sind alle Versionen von 1.0.0 bis 1.12.8. Geschützt ist nur Version 1.13.0, einen Workaround nennt IBM nicht.

Die Lücken

CVECVSSKonto nötig?Was passiert
CVE-2026-936809.8neinSicherheitsprüfungen lassen sich wegen fehlerhafter Authentifizierung umgehen
CVE-2026-1101869.8neinAngreifer führen beliebigen Code auf dem Server aus
CVE-2026-1101938.8ja, niedrige RechteDer eingebaute Agentic Assistant lässt sich dazu bringen, Komponenten-Code mit Betriebssystembefehlen zu erzeugen und einzureichen
CVE-2026-1101926.5jaZugangsdaten sind unzureichend geschützt und können abfließen

Dazu listet das Bulletin drei Lücken im mitgelieferten Web-Framework Hono (CVSS 5.3 bis 6.5), die mit 1.13.0 ebenfalls behoben sind.

Laut The Hacker News läuft eine der kritischen Lücken über die Tool-Auflistung des Model Context Protocol (MCP), die andere ist eine unvollständige Korrektur der Auto-Login-Prüfung. Das Bulletin selbst beschreibt die Lücken knapper. Für den Authentifizierungs-Bypass gibt es ein öffentliches Metasploit-Modul. Es listet die über MCP angebotenen Tools auf, führt aber keinen Code aus. Angriffe in freier Wildbahn sind bisher nicht berichtet, im Katalog der aktiv ausgenutzten Lücken der US-Behörde CISA stehen die neuen CVEs noch nicht.

Auto-Login als Verstärker

Ist LANGFLOW_AUTO_LOGIN aktiv, meldet Langflow jeden Besucher ohne Passwort als Superuser an. Laut The Hacker News ist die Option in 1.12.8 standardmäßig eingeschaltet. Wer seine Instanz aus dem Internet erreichbar betreibt und nie an dieser Stelle nachgeschaut hat, sollte das spätestens jetzt tun.

Was zu tun ist

  • Auf 1.13.0 aktualisieren. Die Version ist seit dem 22.10.2026 auf GitHub verfügbar, per pip mit langflow==1.13.0 oder als Docker-Image langflowai/langflow:1.13.0.
  • Vorher sichern: Datenbank, Secret Key und hochgeladene Dateien.
  • Auto-Login vorbereiten: Wer bisher ohne Passwort arbeitet, muss das Konto laut IBM vor dem Update auf Passwort-Anmeldung umstellen. Die Schritte stehen in den Upgrade-Hinweisen von Langflow.
  • Nicht neu installieren: Langflow rät bei Anmeldeproblemen nach dem Update von Löschen und Neuinstallation ab, dabei können Flows verloren gehen.
  • Secrets prüfen: War die Instanz offen im Netz, die dort hinterlegten API-Keys für Modellanbieter und Datenbanken als kompromittiert behandeln und rotieren.

Langflow war schon im April Teil der MCP-Lücken, die OX Security gemeldet hatte. Wer mehrere solcher Baukästen betreibt, findet im Artikel Coding-Agenten im Team sicher betreiben Grundregeln, die auch hier gelten: nicht ins offene Netz, Secrets getrennt halten, Updates nicht aufschieben.

Quellen5