← Toutes les actualitésLire l'article ↗
Failles critiques dans Langflow permettant à des attaquants non authentifiés d'exécuter du code sur des serveurs
Titre original (traduit automatiquement) : Critical Langflow Flaws Could Let Unauthenticated Attackers Run Code on Servers
Fiches CVE : CVE-2026-93680 ↗ (nouvel onglet), CVE-2026-110186 ↗ (nouvel onglet)
Texte original (en anglais)
IBM reported four Langflow vulnerabilities affecting versions 1. 0. 0 through 1. 12. 8.
Two are critical and require no account: CVE-2026-93680 bypasses authentication, while CVE-2026-110186 permits arbitrary code execution through MCP tool enumeration. A public Metasploit module already enumerates Langflow MCP tools without credentials. Version 1. 13. 0 is the only fix.
It disables automatic login by default. IBM has not published a workaround.
Source originale
thehackernews.com