Langflow’da Kritik Güvenlik Açıkları Kimlik Doğrulaması Olmayan Saldırganların Sunucularda Kod Çalıştırmasına İzin Verebilir

Langflow’da Kritik Güvenlik Açıkları Kimlik Doğrulaması Olmayan Saldırganların Sunucularda Kod Çalıştırmasına İzin Verebilir

IBM’in geçen hafta yaptığı açıklamaya göre, açık kaynaklı bir yapay zeka aracı olan Langflow’daki iki kritik güvenlik açığı, uzaktan kimlik doğrulaması olmayan bir saldırganın kimlik doğrulamasını atlamasına veya rastgele kod çalıştırmasına olanak tanıyabilir. Yapay zeka aracıları ve iş akışları oluşturmak için kullanılan Langflow’un güvenlik açığı raporları IBM’e iletilmektedir. 1.0.0’dan 1.12.8’e kadar olan tüm sürümler bu güvenlik açıklarını içerirken, tek çözüm 1.13.0 sürümüdür.

CISA’nın 30 Ekim tarihli güncellemesine göre, bu iki güvenlik açığı CISA’nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almamaktadır. Ancak, altı başka Langflow güvenlik açığı bu katalogda listelenmiştir; en sonuncusu, Ağustos ayında eklenen CVE-2026-9198’dir.

IBM’in ilk olarak 28 Ekim’de yayınladığı ve ertesi gün güncellediği bültende yer alan dört Langflow güvenlik açığı şunlardır:

IBM’e göre güvenlik açıklarından biri, “model bağlam protokolü aracı numaralandırması aracılığıyla istismar edilebilir, kimlik doğrulaması olmayan uzaktan kod yürütme”dir. Model Bağlam Protokolü (MCP) aracılığıyla Langflow, akışlarını MCP’yi destekleyen yapay zeka uygulamalarına araç olarak sunabilir.

Halka açık Metasploit Framework’teki bir modül, kimlik doğrulama atlatma açığı olan CVE-2026-93680’i zaten belirtmektedir. Bu modül, bir Langflow sunucusunun MCP uç noktasına kimlik bilgileri olmadan bağlanır, bir oturum başlatır ve sunucunun sunduğu araçları listeler. Ancak sunucuda kod veya komut çalıştırmaz.

Modülün yazarı, etkilenen sürümleri Langflow 1.5.0’dan 1.11.4’e kadar dar bir aralıkta listelemektedir, bu da IBM’in belirttiği aralıktan daha dardır.

Otomatik giriş etkinleştirildiğinde, Langflow kullanıcıları oturum açmaya zorlamadan süper kullanıcı olarak oturum açar. LANGFLOW_AUTO_LOGIN ayarı, Langflow 1.12.8’de varsayılan olarak etkindir. Kod açıklaması, bunun “kimlik doğrulamasını atladığını ve yalnızca geliştirme ortamlarında kullanılması gerektiğini” belirtmektedir.

Modül, otomatik giriş açıkken Langflow 1.8.4 üzerinde test edilmiştir. IBM’e göre, diğer dört güvenlik açığından biri “otomatik giriş güvenlik kontrolünün eksik bir şekilde düzeltilmesidir.” Bülten, otomatik giriş kapalı olan sunucuların savunmasız olup olmadığını belirtmemektedir.

1.13.0 Sürümüne Yükseltme

Langflow 1.13.0, 22 Ekim’de yayınlandı. Aynı gün yayınlanan 1.12.8 sürümü hala güvenlik açıklarını içerirken, 2 Kasım itibarıyla PyPI’da daha yeni bir 1.12 sürümü listelenmemiştir. IBM, henüz yükseltme yapamayan sunucular için bir geçici çözüm sunmamaktadır.

Langflow 1.13, otomatik girişi varsayılan olarak kapatır. Yükseltme yapmak için:

1. Veritabanını, gizli anahtarı ve yüklenen dosyaları yedekleyin.
2. Sunucu otomatik giriş kullanıyorsa, mevcut hesabı parola ile oturum açmaya hazırlayın, Langflow’un yükseltme kılavuzunda açıklandığı gibi.
3. Python paketini pip install --upgrade "langflow==1.13.0" komutuyla yükseltin. Docker için, langflowai/langflow:1.13.0 görüntüsüne geçin ve dağıtımın kalıcı verilerini koruyun.
4. Yükseltmeden sonra oturum açamıyorsanız, aynı kılavuzun bağlantı verdiği kurtarma adımlarını izleyin. Erişimi geri almak için Langflow’u silmeyin veya yeniden yüklemeyin, çünkü Langflow’un belgeleri bunun akışlarınızı kalıcı olarak kaldırabileceği konusunda uyarmaktadır.

29 Ekim’de IBM, 29 başka Langflow güvenlik açığı için CVE kayıtları da yayınladı ve 1.12.4 ve 1.12.5 sürümlerini bunların düzeltmeleri olarak adlandırdı. Bunlardan biri olan CVE-2026-104339, kimlik doğrulaması olmayan bir saldırganın rastgele kod çalıştırmasına da izin verebilir ve IBM bunu 9.8 olarak derecelendirmiştir. Bu dört güvenlik açığı dahil olmak üzere 33 kaydın hiçbiri 1.13.0’ı etkilenen olarak listelememektedir.