Langflow: kritikus MCP- és API-hibák miatt sürgős az 1.13.0-s frissítés

Kritikus biztonsági hibákat javítottak a Langflow nyílt forráskódú, AI-folyamatok építésére szolgáló platformjában. Az IBM 2026. október 28-án közzétett, október 29-én kiegészített biztonsági közleménye szerint a sérülékenységek egy része hitelesítés nélküli távoli kódfuttatást, mások jogosultság-ellenőrzés megkerülését és API-kulcsok kiszivárgását tehetik lehetővé.

Az érintett tartomány a Langflow OSS 1.0.0–1.12.8. Az IBM a 1.13.0-s verzió telepítését javasolja. A hibák önmagukban nem bizonyítják, hogy bármilyen banki szolgáltatás vagy AI-rendszer kompromittálódott volna.

Hitelesítés nélkül is elérhető kódfuttatási útvonal

A CVE-2026-110186 sérülékenység CVSS 3.1 szerint 9,8-as értéket kapott. Az IBM szerint a Langflow kódgenerálási és végrehajtási ellenőrzésének hiányossága miatt távoli, nem hitelesített támadó tetszőleges kódot futtathat. A gyártó a Model Context Protocol, vagyis MCP eszközeinek felderítése közben elérhető kódfuttatási útvonalat is nevesíti.

Az MCP lehetővé teszi, hogy AI-alkalmazások külső eszközöket és szolgáltatásokat kapcsoljanak be a működésükbe. Az eszközfelderítés során azonosított ilyen hiba különösen fontos azoknak a szervezeteknek, amelyek AI-asszisztenseket belső rendszerekhez, adatbázisokhoz vagy API-khoz csatlakoztatnak. Ez a lehetséges üzemi kockázat, nem igazolt banki adatlopás.

Hitelesítési megkerülés és alacsony jogosultságról indítható parancsfuttatás

A CVE-2026-93680 szintén 9,8-as CVSS-értékkel szerepel az IBM közleményében. Egy hiányosan javított automatikus bejelentkezési biztonsági vezérlő megkerülhető lehetett, ami jogosulatlan hozzáféréshez vezethet. A CVE-2026-110193 (CVSS 8,8) ezzel szemben már egy alacsony jogosultságú, hitelesített felhasználóhoz kötődik: az Agentic Assistant kódellenőrzőjének hiányosságain keresztül szerveroldali operációsrendszer-parancsok végrehajtását teheti lehetővé.

Az IBM külön kezeli a CVE-2026-110192 sebezhetőséget is (CVSS 6,5), amely nem megfelelően védett hitelesítőadatokhoz, köztük API-kulcsokhoz történő jogosulatlan hozzáférést eredményezhet. A különböző CVE-k eltérő támadási feltételeket igényelnek, így nem helyes egységesen mindet hitelesítés nélküli támadásnak nevezni.

Miért fontos egy pénzügyi API-kat használó szervezetnek?

Az AI-folyamatokat összeállító felületek gyakran adatforrásokat, keresőket, tudásbázisokat, külső API-kat és hitelesítőkulcsokat kezelnek. Ha a platformot vagy valamelyik futtatási munkafolyamatot jogosulatlan fél irányíthatja, veszélybe kerülhet a csatlakoztatott szolgáltatásokhoz rendelkezésre álló hozzáférés is.

A pénzügyi intézmények és technológiai beszállítóik esetében ez különösen érzékeny lehet, ha az AI-kísérletezés ügyféladatokhoz, számlainformációkhoz vagy üzemi rendszerekhez kapcsolódik. Az azonban nem állapítható meg a közleményből, hogy bármely konkrét bank vagy open banking szolgáltató a sérülékeny konfigurációt használta volna.

Javítás: Langflow 1.13.0 és az üzemeltetés ellenőrzése

Az IBM a Langflow OSS 1.13.0-ra frissítést kéri. Python-csomagként a gyártó által megadott parancs pip install --upgrade "langflow==1.13.0"; konténeres telepítésnél a langflowai/langflow:1.13.0 képfájl használata és a szolgáltatás újraindítása szükséges. A ténylegesen futó verziót a konténer és az alkalmazás oldalán is célszerű visszaellenőrizni.

A frissítés előtt az IBM az adatbázis, a titkos kulcs és a feltöltött fájlok mentését írja elő. Automatikus bejelentkezést használó telepítéseknél előre elő kell készíteni a hagyományos jelszavas belépést. A közlemény nem ad külön, teljes értékű átmeneti megkerülő megoldást; ha a frissítés azonnal nem lehetséges, a szolgáltatás hálózati kitettségének korlátozása csökkentheti, de nem szünteti meg a kockázatot.

Mit ellenőrizzen egy fejlesztőcsapat?

A Langflow saját és beszállítói példányainak felderítése, a publikusan elérhető felületek, az MCP-eszközök, az Agentic Assistant engedélyei és az API-kulcsok tárolása egyaránt ellenőrzendő. A korábban sérülékeny, interneten elérhető telepítéseknél érdemes a szokatlan komponensfuttatásokat és hozzáférési eseményeket vizsgálni, indokolt esetben a kapcsolt kulcsokat cserélni.

Az AI-folyamatokat üzemeltető szervezetek számára a legfontosabb tanulság az, hogy egy grafikus AI-fejlesztőeszköz is lehet kritikus szerveroldali végrehajtási környezet: ugyanazokat a hozzáférés-kezelési, naplózási és frissítési elveket igényli, mint bármely más internetkapcsolattal rendelkező alkalmazás.