Langflow 兩個關鍵漏洞：未認證 RCE 與 MCP 端點認證繞過

發生了什麼

來源：本文整理自 The Hacker News 於 2026 年 11 月 2 日發布的報導，引述 IBM 於 10 月 28 日發布（29 日更新）的安全公告。原文連結，原文發布日期為 Mon, 02 Nov 2026 17:20 +0530。

Langflow 是一個建立 AI agent 與工作流程的開源工具，它的漏洞回報由 IBM 處理。2026 年 10 月 28 日，IBM 發布安全公告，揭露 Langflow 從 1.0.0 至 1.12.8 的所有版本都存在多個漏洞，其中兩個為 CVSS 9.8 關鍵漏洞，允許遠端攻擊者不需要帳號就能繞過認證或執行任意程式碼。

唯一的修補版本是 1.13.0，於 2026 年 10 月 22 日發布。這些漏洞目前不在 CISA 的 Known Exploited Vulnerabilities (KEV) 清單上（截至 10 月 30 日更新），但 CISA KEV 已列出其他六個 Langflow 漏洞，最近一次是 8 月新增的 CVE-2026-9198。

四個漏洞的細節

IBM 公告列出四個漏洞（首次發布於 10 月 28 日，29 日更新）：

其中一個漏洞是「透過 Model Context Protocol 工具列舉的未認證遠端程式碼執行」。透過 MCP，Langflow 可以將它的工作流程（flows）作為工具提供給支援 MCP 的 AI 應用程式。

公開的 Metasploit 模組

公開的 Metasploit Framework 已經有模組利用 CVE-2026-93680（認證繞過）。該模組連線到 Langflow 伺服器的 MCP 端點而不需憑證，啟動 session，並列舉伺服器提供的工具。它不執行程式碼或指令。

模組作者列出受影響版本為 Langflow 1.5.0 至 1.11.4，這個範圍比 IBM 列出的（1.0.0 至 1.12.8）窄。

該模組在 Langflow 1.8.4 上測試，自動登入為開啟狀態。

自動登入的問題

當自動登入開啟時，Langflow 讓使用者以 superuser 身分登入，而不提示他們輸入密碼。設定 LANGFLOW_AUTO_LOGIN 在 Langflow 1.12.8 預設為啟用。程式碼描述警告「它繞過認證，應只在開發環境使用」。

四個漏洞中的另一個是「對自動登入安全控制的不完整修補」。公告未說明關閉自動登入的伺服器是否仍會受影響。

如何更新至 1.13.0

Langflow 1.13.0 於 2026 年 10 月 22 日發布。同日發布的 1.12.8 版仍有這些漏洞，PyPI 至 11 月 2 日未見更新的 1.12.x 版本。IBM 沒有提供臨時解決方法給無法立即更新的伺服器。

Langflow 1.13 預設關閉自動登入。更新步驟：

1. 備份資料庫、secret key 與上傳的檔案
2. 如果伺服器使用自動登入，為現有帳號準備密碼登入（依照 Langflow 的更新指引）
3. 更新 Python 套件：pip install --upgrade "langflow==1.13.0"。對於 Docker，改用 langflowai/langflow:1.13.0 image，並保留部署的持久資料
4. 如果更新後無法登入，依照指引的復原步驟操作。不要刪除或重新安裝 Langflow 來恢復存取，Langflow 文件警告這會永久移除你的工作流程

IBM 另外發布 29 個漏洞的 CVE

10 月 29 日，IBM 另外發布 29 個 Langflow 漏洞的 CVE 記錄，修補版本為 1.12.4 與 1.12.5。其中 CVE-2026-104339 同樣可讓未認證攻擊者執行任意程式碼，IBM 評為 CVSS 9.8。

這 33 個 CVE 記錄（包含前述四個）均未列出 1.13.0 為受影響版本。

該怎麼做

立即更新至 1.13.0

更新是唯一的解決方法。使用以下指令：

# Python 套件
pip install --upgrade "langflow==1.13.0"

# Docker
# 改用 image langflowai/langflow:1.13.0
# 保留部署的持久資料

更新後檢查實際版本：

pip show langflow

如果使用自動登入

如果你的伺服器使用自動登入，更新到 1.13.0 後：

1. 為現有帳號設定密碼
2. 依照 Langflow 的更新指引操作
3. 如果無法登入，依照復原步驟操作
4. 不要刪除或重新安裝 Langflow

限制網路存取

因為攻擊需要網路存取 Langflow 的 MCP 端點或 API，限制來源 IP 可以降低風險：

• 使用防火牆規則，只允許信任的 IP 或網段
• 檢視日誌是否有非預期的 MCP 連線
• 確認 MCP 端點是否真的需要對外開放

你可以學到什麼

站在攻擊者的角度：我不需要你的帳號密碼。我直接連到你的 Langflow MCP 端點，因為你開了自動登入，或是你的自動登入修補不完整，我就能繞過認證。我可以列舉你的伺服器提供哪些 AI 工具，也可以透過程式碼生成的漏洞執行任意程式碼。如果你用的是 1.12.8 或更早版本，你的伺服器就是我的。Metasploit 已經有現成的模組，任何人都能試。

如果你使用 Langflow

1. 立即更新至 1.13.0，這是唯一的修補版本
2. 備份資料：資料庫、secret key、上傳檔案
3. 關閉自動登入（1.13.0 預設關閉），為現有帳號設定密碼
4. 限制網路存取：只允許信任的 IP 存取 API 與 MCP 端點
5. 檢視日誌：確認沒有非預期的 MCP 連線或程式碼執行
6. 不要刪除或重新安裝 Langflow 來恢復存取

兩個 CVSS 9.8 的未認證 RCE 與認證繞過漏洞，已有公開的 Metasploit 模組，今天就更新。