Fallos de Langflow dejan a los agentes de IA con la puerta abierta de par en par: dos vulnerabilidades con nota 9,8 sobre 10 permiten entrar sin cuenta, tomar una sesión de superusuario y ejecutar código en el servidor.
IBM publicó el boletín el 28 de octubre y lo actualizó al día siguiente. El aviso cubre todas las versiones de Langflow OSS desde la 1.0.0 hasta la 1.12.8, en Windows, Linux y macOS, y deja una sola salida: subir a la versión 1.13.0, publicada el 22 de octubre. No hay parche parcial ni ajuste temporal que tape el hueco.
Langflow es una herramienta de código abierto para armar agentes de IA y flujos de trabajo con modelos de lenguaje, muy usada en pruebas internas y en servicios pequeños que terminan expuestos en internet. Una instancia casera, levantada para experimentar un fin de semana, queda igual de expuesta que un servidor de producción si nadie tocó su configuración.
Una sesión de superusuario sin pedir credenciales
El fallo CVE-2026-93680 nace de un ajuste: LANGFLOW_AUTO_LOGIN. Venía activo de fábrica en todas las versiones afectadas y, con ese ajuste encendido, la ruta /api/v1/auto_login entrega una sesión de superusuario a quien la pida, sin usuario ni contraseña. IBM lo describe como una corrección incompleta de un control anterior: el arreglo previo acortó la vida de los tokens, pero la puerta siguió abierta.
Ostorlab, firma de seguridad que diseccionó el código de la versión 1.12.8, lo resume con crudeza técnica: basta una petición GET a esa ruta para recibir las cookies del superusuario. Si la respuesta es 403, el inicio automático está apagado y la cadena se corta en el primer paso. Si la respuesta es 200, la instancia acaba de entregar el control.
Con esa sesión en la mano entra el segundo fallo, CVE-2026-110186, también con nota 9,8. El punto de entrada es la enumeración de herramientas del protocolo de contexto de modelo, MCP por sus siglas en inglés, el estándar que permite ofrecer los flujos de Langflow como herramientas para agentes de IA y aplicaciones. Ese protocolo ya traía antecedentes incómodos, como los fallos de seguridad de MCP en agentes locales documentados meses atrás. Desde ahí, el atacante crea un flujo con un componente personalizado, que es código Python, y Langflow lo ejecuta en el servidor con los permisos del propio programa.
La cadena no quedó en papel. Un módulo público de Metasploit Framework ya cita el CVE-2026-93680: se conecta al punto MCP de un servidor Langflow sin credenciales, abre sesión y enumera las herramientas disponibles, aunque no ejecuta código. Su autor lo probó en la versión 1.8.4 y marca como afectadas las versiones de la 1.5.0 a la 1.11.4, un rango más corto que el de IBM.
Con una cuenta de bajo nivel también se llega lejos
El tercer fallo, CVE-2026-110193, baja la nota a 8,8 porque pide una cuenta autenticada, aunque sea de bajo privilegio. El camino pasa por el asistente de agentes integrado de Langflow, su Agentic Assistant: el atacante logra que genere o envíe código de componente con patrones que el escaneo interno no bloqueaba, y ese código termina ejecutando comandos del sistema operativo en el servidor. Entre los patrones que la versión 1.13.0 pasó a bloquear figuran importaciones de pydoc y el atributo ctypeslib de NumPy, incluidos sus alias.
El cuarto fallo, CVE-2026-110192, con nota 6,5, apunta a las credenciales: un atacante autenticado puede obtener información sensible porque las claves de API inyectadas por el operador quedaban con protección insuficiente. En una herramienta que conecta con proveedores de modelos y bases de datos, esas claves valen tanto como el servidor mismo.
Ninguno de los dos fallos de 9,8 aparece en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, en su actualización del 30 de octubre; The Hacker News contó seis fallos previos de Langflow dentro de ese catálogo. El antecedente pesa: el CVE-2025-3248, otra falla de autenticación en Langflow, sí fue explotado y quedó vinculado a campañas de ransomware, programas de secuestro de datos.
Actualización a Langflow 1.13.0 y revisión de registros
La corrección llegó antes que el boletín: Langflow 1.13.0 salió el 22 de octubre y apaga el inicio de sesión automático de fábrica. IBM pide respaldar primero la base de datos, la clave secreta y los archivos subidos, y preparar la cuenta para entrar con contraseña, porque tras la actualización nadie entra de forma automática. La subida se hace con el paquete «langflow==1.13.0» desde PyPI o con la imagen langflowai/langflow:1.13.0 en Docker, conservando los datos persistentes. Borrar y reinstalar para recuperar el acceso es la peor salida: la documentación del proyecto advierte que puede eliminar los flujos para siempre.
El 29 de octubre, IBM publicó además los registros de otros 29 fallos de Langflow corregidos en las versiones 1.12.4 y 1.12.5. Uno de ellos, CVE-2026-104339, también permite ejecutar código sin cuenta y también carga una nota de 9,8. Ninguno de los 33 registros marca la 1.13.0 como afectada.
Queda un cabo suelto que la actualización no ata sola: quien haya fijado LANGFLOW_AUTO_LOGIN=true a mano conserva el ajuste tras subir de versión, y la ruta de inicio automático sigue repartiendo sesiones. La revisión honesta pasa por los registros de acceso, buscando peticiones GET a /api/v1/auto_login de direcciones ajenas al equipo, y por revisar flujos con componentes personalizados que nadie reconozca como propios. Una sola petición bastaba.
Fuente: IBM
Top comments (0)