Langflow'daki kritik açıklar, kimlik doğrulamasız saldırganların sunucuda kod çalıştırmasına imkân verebilir

IBM'in güvenlik bültenleri, yapay zekâ ajanları ve iş akışları oluşturmaya yarayan açık kaynaklı araç Langflow'da, kimlik doğrulamasız uzaktan kod çalıştırmaya yol açabilecek kritik açıklar dâhil dört zafiyet tanımlıyor; bu bilgi The Hacker News'e dayanıyor. Tek çözüm, 22 Ekim'de yayımlanan Langflow 1.13.0 sürümü.

Neler oldu?

The Hacker News'e göre IBM'in ilk kez 28 Ekim'de yayımlanan ve ertesi gün güncellenen güvenlik bülteni dört Langflow açığını listeliyor. İkisi CVSS 9.8 ile kritik: IBM'e göre CVE-2026-93680, hatalı kimlik doğrulama nedeniyle güvenlik kısıtlamalarının atlanmasına; CVE-2026-110186 ise kod üretiminin hatalı kontrolü nedeniyle rastgele kod çalıştırılmasına izin verebiliyor. Hiçbiri hesap gerektirmiyor. Diğer ikisi düşük yetkili bir hesap gerektiriyor: CVE-2026-110193 (CVSS 8.8), IBM'e göre Langflow'un Agentic Assistant bileşenine, sunucuda işletim sistemi komutları çalıştıran bileşen kodu ürettirebiliyor ya da gönderttirebiliyor; CVE-2026-110192 (CVSS 6.5) ise kimlik bilgilerinin korunma biçimindeki bir bilgi sızdırma açığı.

Teknik detaylar

Langflow, akışlarını Model Context Protocol (MCP) üzerinden yapay zekâ uygulamalarına araç olarak sunabiliyor. Haber, IBM'in açıklardan birini "model context protocol araç numaralandırması yoluyla istismar edilebilen kimlik doğrulamasız uzaktan kod çalıştırma" olarak tanımladığını aktarıyor. Herkese açık bir Metasploit modülü halihazırda CVE-2026-93680'e atıfta bulunuyor; makaleye göre modül, bir Langflow MCP uç noktasına kimlik bilgisi olmadan bağlanıp sunucunun araçlarını listeliyor ancak henüz kod ya da komut çalıştırmıyor. Makale ayrıca 1.12.8 sürümünde varsayılan olarak etkin olan LANGFLOW_AUTO_LOGIN ayarının kullanıcıları sormadan süper kullanıcı olarak oturum açtırdığını belirtiyor; Langflow'un kendi kodu bu seçeneğin "kimlik doğrulamasını atladığını ve yalnızca geliştirme ortamlarında kullanılması gerektiğini" uyarıyor. Bülten, otomatik oturum açmanın kapalı olduğu sunucuların savunmasız olup olmadığını netleştirmiyor.

Kimler etkileniyor?

The Hacker News, "1.0.0'dan 1.12.8'e kadar her sürümün" açıklara sahip olduğunu belirtiyor; Metasploit modülünün yazarı ise daha dar bir aralık olan 1.5.0 ile 1.11.4 arasını sıralıyor. Makale yayımlandığı sırada açıkların hiçbiri CISA'nın İstismar Edilen Açıklar kataloğunda yer almıyor ve makale, vahşi ortamda doğrulanmış bir saldırı bildirmiyor. Haber ayrıca IBM'in, biri kimlik doğrulamasız kod çalıştırmaya imkân verebilen 9.8 puanlı olmak üzere onlarca başka Langflow açığı için de CVE kaydı yayımladığını aktarıyor.

Ne yapmalı?

Otomatik oturum açmayı varsayılan olarak kapatan Langflow 1.13.0 sürümüne yükseltin; IBM, yükseltemeyen sunucular için bir geçici çözüm sunmuyor. Haber, önce veritabanının, gizli anahtarın ve yüklenen dosyaların yedeklenmesini, sunucu otomatik oturum açma kullanıyorsa mevcut hesabın parolayla girişe hazırlanmasını öneriyor. Langflow'u silmenin veya yeniden kurmanın "akışlarınızı kalıcı olarak kaldırabileceği" uyarısı yapılıyor; bu nedenle yöneticiler yeniden kurmak yerine Langflow'un yükseltme ve kurtarma rehberini izlemeli.