CVE-2026-93680CVSS 9.8身份验证绕过
无需凭据的远程攻击可绕过身份验证限制；IBM 将其归为自动登录修复不完整。
Langflow 公告披露未授权 RCE 及身份验证绕过；请升级至 1.13.0
IBM 披露影响 Langflow OSS 1.0.0–1.12.8 的严重未授权代码执行和身份验证绕过，另含需登录的问题及 Hono 依赖漏洞。先备份数据并准备密码登录，再升级至 1.13.0。
- 披露时间
- 2026年10月28日
- 更新于 2026年11月4日
- 严重程度
- CVSS 9.8 × 2
- 本页收录 7 个 CVE
- 波及范围
- Langflow OSS 1.0.0–1.12.8；严重远程路径无需登录，其他问题有更窄的前提
- python · langflow
- 在野利用
- 未知
- 所引厂商公告未确认真实攻击。
发生了什么
本文跟踪 IBM 于 10 月 28 日发布的公告，并纳入 29 日的澄清；1.13.0 已于 22 日发布。公告合并了四个 Langflow 产品 CVE 和三个更早的 Hono 依赖 CVE，不能证明每个部署都暴露于所有依赖路径。Hono 底层修复版本为 4.13.5，IBM 的产品处置目标则为 Langflow 1.13.0。应升级应用，不能用未经验证的单独依赖替换代替。
严重产品漏洞的攻击向量无需凭据；Agentic Assistant 代码执行及凭据泄露 CVE 则需要登录。公告摘要还提到未按预期授权的 API 密钥访问，但凭据 CVE 的向量要求低权限，不能泛化为所有匿名用户均可利用。所引公告未确定具体利用端点、已确认受害者数量或真实攻击。涉及主流 AI 工作流服务及严重披露路径，因此评为 L3。
11 月 4 日回移发版： 上游于 01:39:07 UTC 发布 1.12.9，1.13.0 已不再带有 GitHub latest 标签。已合并变更覆盖 MCP 凭据及目标地址、生成组件限制和镜像依赖；存储命名空间隔离延后，Python 3.10 保留较旧 Pillow/filelock 分支。这些是实质保护更新，但已审阅发版及 PR 不能证明与 IBM 十月公告每个 CVE 的修复等价。已核实的 1.13.0 升级建议、数据保留及密码准备步骤仍适用。源码版本可用不代表每个部署镜像都已重建或扫描。
11 月 4 日后续发版： Langflow 于 03:14:15 UTC 发布 1.13.1，包含 1.12.9 延后的存储命名空间隔离，以及进一步的 MCP、组件及依赖保护。原公告的 1.13.0 修复下限予以保留，1.13.1 在此基础上增加保护。发版及已合并 PR 不能保证所有镜像均已可用或没有漏洞，Python 3.10 依赖例外仍需关注。
马桶里有什么
CVE-2026-110186CVSS 9.8未授权代码执行
无需凭据即可远程执行代码；公告描述了 MCP 工具枚举攻击面。
CVE-2026-110193CVSS 8.8Agentic Assistant 代码执行
低权限登录用户可通过未被拦截的模式生成或提交组件代码，执行操作系统命令。
CVE-2026-110192CVSS 6.5凭据保护不足
经过身份验证的远程访问可能泄露敏感信息；公告同时讨论了运维方注入的 API 密钥暴露。
CVE-2026-84363CVSS 5.9Hono 查询及缓存解释差异
运行时或中间层传递字面量 URL 片段时，可让查询参数避开过滤及缓存键。会剥离片段的路径（包括 Cloudflare Workers）不属于此 Hono 暴露范围。
CVE-2026-84364CVSS 5.3Hono 点号路径解析耗尽内存
仅影响启用了非默认点号路径请求体解析的端点；嵌套表单字段可耗尽内存。
CVE-2026-84365CVSS 6.5Hono 静态生成目录穿越
构建期 SSG 在 ssgParams 不可信时可写到输出目录外；普通请求路由及完全由开发者控制的参数不在影响范围内。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Langflow OSS | 1.13.0 | IBM 建议的产品修复 |
| Langflow 额外存储及 MCP 保护 | 1.13.1 | 后续源码发版；IBM 公告修复下限仍为 1.13.0 |
案发时间线
2026年10月22日
Langflow 1.13.0 已发布
2026年10月28日
IBM 首次发布多漏洞公告
2026年10月29日
IBM 澄清处置步骤并发布产品 CVE 记录
11月4日 01:39 UTC
Langflow 发布 1.12.9 回移版本
源码发版包含 MCP、组件策略及镜像依赖变更；已审阅材料未将其对应至 IBM 公告全部七个 CVE，1.13.0 仍是已核实的产品修复建议。
11月4日 03:14 UTC
Langflow 发布 1.13.1，加入更多安全保护
包含 1.12.9 延后的用户与工作流存储命名空间隔离，以及 MCP、组件策略及依赖变更。IBM 公告已核实的产品修复下限仍为 1.13.0。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- IBM Langflow 安全公告一手来源10 月 28 日首次发布，29 日更新；列出七个 CVE，建议将产品升级至 1.13.0。
- Langflow 安装及升级准备一手来源自动登录切换及现有账户准备，避免以破坏数据的方式恢复访问。
- Langflow Docker 升级指引一手来源替换容器前需检查配置和实际数据位置。
- Langflow 1.13.0 发布说明一手来源版本早于 IBM 披露已可用；补丁发布日期不是事件披露日期。
- Langflow 1.12.9 原始发版一手来源11 月 4 日 01:39:07 UTC 发布源码版本，链接回移及 lxml/Mako 变更。
- Langflow 已合并回移 PR 16119一手来源MCP、生成组件、登录及依赖保护；存储隔离延后，Python 3.10 存在依赖限制，并非 IBM 七个 CVE 的完整对应。
- Langflow 已合并镜像依赖 PR 16123一手来源lxml 改为链接系统库，设置 Mako 安全下限；原文明确验证限制，不是所有镜像安全的保证。
- Langflow 1.13.1 发版元数据及说明一手来源11 月 4 日核阅时为 v1.13.1，03:14:15 UTC 发布，列出所含安全变更。
- Langflow 存储隔离 PR 15982一手来源分隔用户与工作流命名空间；旧用户文件无需迁移仍可读取。
- Langflow 1.13.1 镜像依赖 PR 16121一手来源依赖和系统库变更、Python 3.10 例外，以及尚未验证的镜像构建及扫描范围。
- Langflow 1.13.1 依赖 PR 16131一手来源Python、前端及文档依赖更新，部分受 Python 版本约束。