Swati Khandelwal 2 Kasım 2026
IBM geçen hafta yaptığı açıklamada, Langflow'daki iki kritik açığın hesap sahibi olmayan uzaktan bir saldırganın kimlik doğrulamasını atlamasına ya da keyfi kod çalıştırmasına olanak sağlayabileceğini belirtti.
Langflow, yapay zekâ ajanları ve iş akışları oluşturmak için kullanılan açık kaynaklı bir araçtır ve güvenlik açıkları raporları IBM'e gider. 1.0.0'dan 1.12.8'e kadar her sürümde bu açıklar bulunur ve tek çözüm 1.13.0 sürümüdür.
30 Ekim güncellemesi itibarıyla her iki açık da CISA'nın Bilinen Sömürülen Güvenlik Açıkları kataloğunda yer almıyor. Kataloğa en son Ağustos ayında eklenen CVE-2026-9198 dahil olmak üzere listede Langflow'a ait altı başka açık bulunuyor.
28 Ekim'de yayımlanıp ertesi gün güncellenen IBM bültenindeki dört Langflow açığı şunlardır:
CVSS puanı (IBM)
IBM'in bunun sağlayabileceğini söylediği durum
Güvenlik kısıtlamalarının atlanması, yetersiz kimlik doğrulama nedeniyle
Keyfi kod çalıştırılması, kod oluşturmanın yetersiz kontrolü nedeniyle
Evet, düşük ayrıcalıklı bir hesap
Agentic Assistant'ın sunucuda işletim sistemi komutları çalıştıran bileşen kodu oluşturmasını veya göndermesini sağlama
Yetersiz şekilde korunmuş kimlik bilgilerinden hassas bilgilerin elde edilmesi
IBM'e göre açıkların biri "Model Context Protocol araç numaralandırması üzerinden sömürülebilen kimlik doğrulamasız uzaktan kod çalıştırma"dır. Model Context Protocol (MCP) üzerinden Langflow, akışlarını MCP'yi destekleyen yapay zekâ uygulamalarına araç olarak sunabilir.
Kamu Metasploit Framework'ünde yer alan bir modül, kimlik doğrulama atlatması olan CVE-2026-93680'i zaten gösteriyor. Modül, kimlik bilgisi olmadan bir Langflow sunucusunun MCP uç noktasına bağlanır, oturum başlatır ve sunucunun sunduğu araçları listeler. Sunucuda kod veya komut çalıştırmaz.
Yazar, etkilenen sürüm aralığını IBM'in belirttiğinden daha dar olan 1.5.0'dan 1.11.4'e kadar listeliyor.
Otomatik giriş etkinleştirildiğinde Langflow kullanıcıları oturum açmaları için istemeden süper kullanıcı olarak oturum açar. LANGFLOW_AUTO_LOGIN ayarı Langflow 1.12.8'de varsayılan olarak etkindir. Kod açıklaması bunun "kimlik doğrulamasını atladığını ve yalnızca geliştirme ortamlarında kullanılması gerektiğini" uyarıyor.
Modül otomatik giriş açıkken Langflow 1.8.4 üzerinde test edildi. IBM'e göre dört açık arasında "otomatik giriş güvenlik kontrolünün eksik giderilmesi" de bulunuyor. Bülten, otomatik giriş kapatılmış sunucuların da savunmasız olup olmadığına dair bilgi vermiyor.
1.13.0'a Yükseltme
Langflow 1.13.0 22 Ekim'de çıktı. Aynı gün yayımlanan 1.12.8 sürümü açıkları hâlâ içeriyor ve 2 Kasım itibarıyla PyPI'de daha yeni bir 1.12 sürümü listelenmiyor. IBM, henüz yükseltme yapamayan sunucular için geçici çözüm sunmuyor.
Langflow 1.13 otomatik girişi varsayılan olarak kapatıyor. Yükseltmek için:
Veritabanını, gizli anahtarı ve yüklenen dosyaları yedekleyin.
Sunucu otomatik giriş kullanıyorsa, Langflow'un yükseltme rehberinin anlattığı şekilde mevcut hesabı parola ile oturum açmaya hazırlayın.
Python paketini pip install --upgrade "langflow==1.13.0" ile yükseltin. Docker için langflowai/langflow:1.13.0 imajına geçin ve dağıtımın kalıcı verilerini koruyun.
Yükseltme sonrası oturum açamazsanız, aynı rehberin bağlantı verdiği kurtarma adımlarını uygulayın. Erişimi geri kazanmak için Langflow'u silmeyin veya yeniden yüklemeyin, çünkü Langflow belgeleri bunun akışlarınızı kalıcı olarak kaldırabileceği konusunda uyarıyor.
29 Ekim'de IBM ayrıca Langflow'daki 29 başka açık için CVE kayıtları yayımladı ve bunların düzeltmeleri olarak 1.12.4 ve 1.12.5 sürümlerini gösterdi. Bunlardan CVE-2026-104339, hesap sahibi olmayan bir saldırganın keyfi kod çalıştırmasına da izin verebiliyor ve IBM bunu 9.8 olarak değerlendiriyor. Bu dört açık da dahil olmak üzere 33 kaydın hiçbiri 1.13.0'ı etkilenen olarak göstermiyor.
