No hace falta contraseña: hallan en Langflow dos vulnerabilidades críticas que permiten tomar el control del servidor

La plataforma para crear agentes de IA volvió a estar en riesgo de toma de control remota. Dos vulnerabilidades críticas en Langflow permiten atacar servidores sin una cuenta. IBM advirtió sobre los problemas el 28 de octubre y aclaró la información al día siguiente. Son vulnerables las versiones de Langflow OSS desde la 1.0.0 hasta la 1.12.8 inclusive. Las correcciones se incluyeron en la versión 1.13.0.

La primera, CVE-2026-93680, está relacionada con un fallo de verificación de autenticidad y permite eludir restricciones de acceso. La segunda, CVE-2026-110186, abre la posibilidad de ejecutar código arbitrario en el servidor. IBM las evaluó a 9,8 sobre 10 según la escala CVSS 3.1. Para ambas no se requieren ni cuenta ni acciones del usuario.

Uno de los escenarios descritos por IBM afecta al Protocolo de Contexto de Modelos (MCP), por el cual Langflow proporciona a las aplicaciones de IA acceso a herramientas y flujos de trabajo. El problema permite llegar a la ejecución de código al enumerar las herramientas del MCP sin autenticación. No obstante, el boletín no revela la secuencia detallada del ataque ni las condiciones para su explotación exitosa.

Para la vulnerabilidad de omisión de autenticación ya existe un módulo de Metasploit. El código publicado comprueba el acceso a la interfaz MCP a través de SSE, crea una sesión y obtiene información sobre las herramientas disponibles sin contraseña. El propio módulo no ejecuta comandos en el servidor. El desarrollador indicó un rango más estrecho de versiones vulnerables, de la 1.5.0 a la 1.11.4. El módulo fue probado en Langflow 1.8.4.

En ese mismo boletín IBM describió otras dos vulnerabilidades. CVE-2026-110193, con una puntuación de 8,8 según CVSS 3.1, permite a un usuario con privilegios limitados forzar al asistente de IA Agentic Assistant a ejecutar comandos del sistema. CVE-2026-110192 obtuvo 6,5 puntos según CVSS 3.1 y está relacionada con la protección insuficiente de credenciales. A diferencia de las dos vulnerabilidades críticas, ambas requieren autorización.

La situación se complica por el inicio de sesión automático en Langflow. En la versión 1.12.8 el parámetro LANGFLOW_AUTO_LOGIN está activado por defecto, y en ese modo un usuario puede obtener privilegios de administrador sin introducir contraseña. En Langflow 1.13.0 el inicio de sesión automático se desactivó por defecto. IBM no aclaró si es posible explotar las nuevas vulnerabilidades críticas con el inicio de sesión automático desactivado.

Langflow ya fue objeto de ataques reales. En marzo la explotación de otra vulnerabilidad se detectó aproximadamente 20 horas después de su divulgación, y en septiembre los atacantes atacaron Langflow intentando robar claves de OpenAI y AWS. A fecha del 30 de octubre, las dos nuevas vulnerabilidades críticas no figuraban en el catálogo de vulnerabilidades confirmadamente explotadas de la CISA. No hay datos de ataques que hayan empleado las nuevas vulnerabilidades hasta ahora.

IBM recomienda actualizar a Langflow 1.13.0 y no ofrece una solución temporal para mitigar los problemas sin actualizar. Antes de la instalación hay que guardar copias de seguridad de la base de datos, de la clave secreta y de los archivos subidos. Al pasar del inicio de sesión automático será necesario preparar de antemano una cuenta para acceder con contraseña. La actualización está disponible a través de pip y en la imagen de Docker con la etiqueta 1.13.0.