リモートホストで実行されている Langflow のバージョンは、2 つの脆弱性の影響を受けます。これらの脆弱性は、認証されていないリモートコードの実行に連鎖する可能性があります。

  - CVE-2026-9103:「/api/v1/auto_login」エンドポイントは、デフォルトの AUTO_LOGIN 設定が有効な場合、認証されていない任意の呼び出し元に対してスーパーユーザー JWT ベアラートークンを発行します。

  - CVE-2026-8481:「/api/v1/validate/code」エンドポイントは、グローバルが importlib および Python ビルトインを露出するサンドボックス化されていない exec() を使用して、「validation」中に攻撃者が指定した Python をコンパイルおよび評価します。関数のデフォルト引数の値とデコレータは、定義時に実行されます。

リモートの認証されていない攻撃者は、最初に auto_login エンドポイントからスーパーユーザートークンをリクエストし、次に、デフォルトの引数として任意の Python コードを実行する validate/code に細工された Python コードを送信することで、これらの脆弱性を連鎖的に悪用し、最終的に Langflow サービスのユーザーとして任意のオペレーションシステムコマンドを実行することが可能です。

Nessus は、/auto_login からトークンを取得し、ターゲットに帯域外コールバック (DNS 検索やソケット直接接続) を Nessus スキャナーへ強制的に実行させることで、非破壊的にチェーンを確認しました。ターゲットでオペレーティングシステムのコマンドが実行されませんでした。

検出

Langflow auto_login + validate/code Chain の認証されていない RCE (CVE-2026-9198) (Direct Check)

critical Nessus プラグイン ID 334529

バージョン 1.3