Langflow : deux failles critiques, CVSS 9,8, corrigées

Langflow est une plateforme open source de création de workflows d'agents IA par glisser-déposer, utilisée pour prototyper et déployer rapidement des applications fondées sur des grands modèles de langage. Un bulletin de sécurité publié par IBM révèle quatre vulnérabilités affectant toutes les versions de Langflow de 1.0.0 à 1.12.8, dont deux notées CVSS 9,8 et exploitables sans compte, avant la correction apportée par la version 1.13.0 publiée le 22 octobre 2026.

Quelles sont les failles critiques de Langflow ?

Selon le bulletin de sécurité d'IBM, les quatre vulnérabilités sont les suivantes :

Pour comprendre comment ces scores sont établis, voir notre guide sur le score CVSS. La faille CVE-2026-93680 est liée au paramètre LANGFLOW_AUTO_LOGIN, activé par défaut jusqu'à la version 1.12.8 : IBM la décrit comme une correction incomplète d'un contrôle de connexion automatique déjà traité par le passé. Un module Metasploit public permet de vérifier à distance, sans identifiants, si un serveur Langflow est concerné par ce contournement d'authentification, sans aller plus loin : il énumère les outils MCP exposés sans exécuter de code. The Hacker News rapporte qu'aucune de ces quatre CVE ne figurait au catalogue CISA KEV des failles activement exploitées lors de la mise à jour du 30 octobre 2026.

À retenir : sur une instance Langflow laissée en connexion automatique, un attaquant sans identifiants peut aujourd'hui lister les outils exposés, et potentiellement exécuter du code via l'énumération des outils MCP, selon IBM.

Quelles versions sont concernées et comment se mettre à jour ?

Toutes les versions de Langflow comprises entre 1.0.0 et 1.12.8 sont concernées. La version 1.13.0, publiée le 22 octobre 2026, corrige les quatre vulnérabilités et désactive désormais la connexion automatique par défaut. IBM ne propose aucune mesure de contournement pour les instances qui ne peuvent pas être mises à jour immédiatement : la seule remédiation documentée est la montée de version.

Séparément, IBM a publié le 29 octobre 2026 vingt-neuf autres CVE touchant des versions plus anciennes de Langflow, corrigées dans les versions 1.12.4 et 1.12.5. L'une d'elles, CVE-2026-104339, est également notée CVSS 9,8 et permet une exécution de code arbitraire sans authentification. Aucune de ces trente-trois CVE ne mentionne la version 1.13.0 comme affectée : une mise à jour vers cette version corrige l'ensemble des failles connues à ce jour.

Comment détecter une exposition ou une exploitation ?

• Vérifiez la version installée : toute instance en version 1.12.8 ou antérieure doit être considérée comme exposée, surtout si elle est accessible depuis Internet ou depuis un réseau peu cloisonné.
• Contrôlez le paramètre de connexion automatique (LANGFLOW_AUTO_LOGIN) sur les instances non encore mises à jour : sa désactivation réduit l'exposition à la faille CVE-2026-93680, sans remplacer la mise à jour.
• Passez en revue les journaux d'accès à la recherche de requêtes anonymes vers les points d'entrée liés aux outils MCP (Model Context Protocol), en particulier des énumérations d'outils sans authentification préalable.
• Inventoriez les secrets déjà stockés dans vos flux Langflow (clés d'API de fournisseurs de modèles, identifiants de bases de données connectées) : s'ils ont pu être exposés avant la mise à jour, ils doivent être régénérés par précaution.
• Recherchez des flux ou des composants créés sans action connue d'un utilisateur légitime, signe possible d'une exécution de code via un assistant agentique détourné.
• Suivez l'état de ces CVE et leur priorité de correctif avec notre base de données CVE, régulièrement mise à jour avec le catalogue CISA KEV et les scores EPSS.
• Mettez à jour vers la version 1.13.0 dès que possible : c'est la seule version qui corrige l'ensemble des 33 CVE publiées par IBM en octobre 2026 sur Langflow.

Cette faille illustre un risque déjà documenté pour les identifiants liés à l'IA : voir notre article sur le LLMjacking et le vol d'identifiants IA en entreprise, qui détaille comment des accès à des services d'IA peuvent être siphonnés puis revendus.

L'avis du CSIRT

La priorité va clairement aux instances Langflow exposées sur Internet ou accessibles depuis un réseau peu cloisonné, en particulier celles où le paramètre de connexion automatique n'a jamais été désactivé : pour elles, un contournement d'authentification suivi d'une exécution de code ne nécessite ni identifiants, ni interaction d'un utilisateur. Les instances strictement internes, derrière un accès authentifié et segmenté, peuvent planifier la mise à jour sans la même urgence, mais ne doivent pas l'écarter : la faille d'exécution de code via les outils MCP reste accessible à tout utilisateur, même faiblement privilégié, dans certains scénarios.

La détection ne se limite pas à un identifiant de vulnérabilité : il faut chercher, dans les journaux applicatifs, des appels inhabituels vers les points d'entrée liés au protocole MCP sans session authentifiée préalable, ou la création de flux et de composants que personne de l'équipe ne reconnaît. Le piège le plus courant consiste à se contenter d'appliquer le correctif sans vérifier si l'instance a déjà été sondée ou compromise avant la mise à jour : une faille d'authentification de ce type ne laisse pas toujours de trace évidente dans les journaux par défaut.

Après la mise à jour vers la version 1.13.0, vérifiez systématiquement que la connexion automatique reste désactivée comme prévu par défaut, passez en revue l'ensemble des clés et identifiants accessibles depuis l'instance (fournisseurs de modèles, bases de données, services internes connectés), et régénérez ceux qui ont pu transiter par un flux exposé avant correction.

Points clés

• Langflow, plateforme open source de création d'agents IA, est touché par quatre failles (CVE-2026-93680, CVE-2026-110186, CVE-2026-110193, CVE-2026-110192), dont deux notées CVSS 9,8 et exploitables sans compte.
• Toutes les versions 1.0.0 à 1.12.8 sont concernées ; la version 1.13.0, publiée le 22 octobre 2026, corrige les quatre failles et désactive la connexion automatique par défaut.
• Un module Metasploit public permet de vérifier à distance l'exposition au contournement d'authentification, sans exécuter de code.
• Aucune des quatre CVE ne figurait au catalogue CISA KEV au 30 octobre 2026, mais l'absence d'inscription ne signifie pas absence de risque pour une instance exposée.
• Au-delà du correctif, inventoriez et régénérez les identifiants IA stockés dans les flux Langflow exposés avant la mise à jour.

Sources

• IBM : Security Bulletin - Langflow OSS Affected by Multiple Vulnerabilities
• The Hacker News : Critical Langflow Flaws Could Let Attackers Bypass Auth or Run Code
• Langflow 1.13.0 sur GitHub