Langflow CVE-2026-9198: catena auto-login e code injection verso RCE non autenticata, PoC pubblico

Torna Langflow, il framework open source per costruire agenti e workflow di IA, con una nuova catena di esecuzione codice: la CVE-2026-9198, un code injection con CVSS 9.8 che porta a RCE non autenticata concatenando due difetti distinti. Il primo è la CVE-2026-9103, una missing authentication (CVSS 9.8) sull'endpoint /api/v1/auto_login: la funzione di auto-login, abilitata per impostazione predefinita, permette a qualsiasi client HTTP di ottenere senza credenziali un token JWT con privilegi di SUPERUSER. Il secondo è la CVE-2026-8481, un code injection (CVSS 9.9) sull'endpoint /api/v1/validate/code, che con quel token esegue codice arbitrario con i privilegi del processo del server Langflow.

Per questa specifica catena non c'è ancora conferma di sfruttamento in rete: l'alert ACN la classifica come PoC pubblico, non come sfruttamento attivo. La cautela va però pesata con il contesto: Langflow è un bersaglio ricorrente e già colpito da campagne di massa, dalla CVE-2025-3248 alla CVE-2026-33017 inserita nel catalogo KEV della CISA e sfruttata entro poche ore dalla divulgazione, fino alla CVE-2026-55255 che avevamo trattato appena due settimane fa. Con un exploit pubblico disponibile, una superficie non autenticata e uno storico simile, la distanza tra proof of concept e sfruttamento reale su questa piattaforma si è sempre rivelata brevissima.

A doversene preoccupare è chi espone un'istanza Langflow OSS raggiungibile dalla rete con l'auto-login attivo, che è la configurazione predefinita e quindi frequente: la condizione che rende la catena sfruttabile coincide con l'impostazione di default. Il perimetro comprende anche gli ambienti enterprise, dato che Langflow è integrato in soluzioni IBM per i workflow di IA, e più in generale le installazioni sperimentali messe in produzione in fretta, il pattern di adozione immatura delle piattaforme AI e low-code che questo bollettino ha ripetutamente segnalato. Aggiornamento e disattivazione dell'auto-login dove non indispensabile sono le due leve immediate.

• Versioni affette: Langflow OSS dalla 1.0.0 alla 1.10.0 inclusa; la catena richiede l'auto-login abilitato e gli endpoint /api/v1/auto_login e /api/v1/validate/code raggiungibili dalla rete.
• Azione raccomandata: aggiornare Langflow alla versione correttiva successiva alla 1.10.0 indicata nel bollettino di sicurezza Langflow/IBM; disabilitare l'auto-login dove non necessario e limitare l'accesso in rete agli endpoint di gestione; monitorare i log per chiamate a /api/v1/auto_login e /api/v1/validate/code non riconducibili a client legittimi.

Fonti: ACN, IBM, Cloud Security Alliance, Bleeping Computer