Langflow CVE-2026-93680 y CVE-2026-110186: Dos 9.8 y un Solo Arreglo (1.13.0)

1. Contexto: Dos Fallos de Portada Dentro de una Divulgación Mucho Mayor

El boletín de seguridad de IBM (publicado el 28 de octubre, actualizado el 29) lista siete vulnerabilidades: cuatro en Langflow y tres en su dependencia Hono. Las dos que más importan son sin autenticar y críticas. CVE-2026-93680 es autenticación indebida (CWE-287): un atacante remoto puede saltearse las restricciones de seguridad sin ningún login. CVE-2026-110186 es control indebido de la generación de código (CWE-94): un atacante remoto puede ejecutar código arbitrario. Ambas llevan el vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — red, baja complejidad, sin privilegios y sin interacción del usuario — así que puntúan 9.8.

Estas dos son la punta de un lote mucho más grande. IBM publicó sus registros de CVE de Langflow en tres boletines a la vez (un agregador cuenta 33 IDs en total): 16 corregidos en 1.12.4, 14 en 1.12.5 y este último conjunto donde cuatro IDs de Langflow — las dos 9.8 más un fallo autenticado 8.8 de ejecución de comandos en el Agentic Assistant (CVE-2026-110193) y uno 6.5 de exposición de credenciales (CVE-2026-110192) — se corrigen solo en 1.13.0. El investigador Ostorlab reconstruye la toma de control sin login a partir del código de 1.12.8: un GET /api/v1/auto_login sin autenticar reparte tokens de sesión de superusuario cuando el auto-login está activo, y esa sesión llega a las herramientas MCP de Langflow, donde un componente personalizado es Python que corre en el servidor. Eso es análisis del investigador, no un exploit publicado por el proveedor.

Cómo se reparte el lote (boletín de IBM 7294467)

Dónde estamos (revisado el 3 de noviembre de 2026)

2. Cinco Implicaciones para Equipos que Corren o Empaquetan Langflow

El advisory de IBM da las versiones y el arreglo; el análisis de Ostorlab y el resumen de Metasploit completan cómo funciona de verdad el camino sin login. Juntos cambian cómo priorizaría esto.

Quién está expuesto, y qué hacer

Qué controla de verdad el auto-login

Sobre el número de “33 CVEs” y las líneas confusas del boletín: el 33 es todo el lote de registros de Langflow asignados por IBM en tres boletines, no este, que lista siete. La línea “corregido en 4.13.5” es la dependencia Hono (CVE-2026-84363 / 84364 / 84365), no Langflow — el Hono empaquetado de Langflow ya es 4.13.13 tanto en 1.12.8 como en 1.13.0. La entrada CWE-22 / 6.5 es el path traversal en build de Hono (CVE-2026-84365), y no choca con las calificaciones CWE-287 y CWE-94 de Langflow; son advisories distintos dentro de un mismo boletín.

3. Qué Hacer Esta Semana

El mismo orden que con cualquier fallo de runtime: encontrá cada copia alcanzable, actualizá como pide cada instalación, reiniciá para que el arreglo sea real y poné mitigaciones delante de lo que hoy no podés actualizar. Todo lo del paso 1 solo lee.

Paso 1: Encontrá cada Langflow y leé su versión

# 1. El paquete de Python: qué está instalado y corriendo de verdad
pip show langflow langflow-base          # línea corregida: 1.13.0 (ambos paquetes)
langflow --version                       # o: python -m langflow --version

# 2. Un servidor en marcha, por el endpoint de versión documentado
curl -s http://127.0.0.1:7860/api/v1/version
#   {"version":"1.12.8","main_version":"1.12.8","package":"Langflow"} = afectado

# 3. Docker: el tag que corre el contenedor, no a dónde apunta hoy :latest
docker ps --format '{{.Names}} {{.Image}}' | grep -i langflow
grep -rniE 'langflow(ai)?/langflow|openrag-langflow' --include='*.y*ml' .

# 4. ¿Está el auto-login activo? Es la condición previa del camino sin autenticar
docker exec <container> printenv LANGFLOW_AUTO_LOGIN   # vacío o true en <=1.12.8

# Los productos que empaquetan Langflow también arrastran el fallo. OpenRAG es el caso más claro.
docker ps --format '{{.Names}} {{.Image}}' | grep -i 'openrag-langflow'
docker exec <openrag-langflow> python -m langflow --version   # 1.12.x = afectado

# OpenRAG 0.8.1 construye su imagen de Langflow sobre langflowai/langflow:base-1.12.x
# (base-1.12.3 en el tag 0.8.1, base-1.12.8 en main) — dentro del rango 1.0.0-1.12.8 —
# y su instalador pone LANGFLOW_AUTO_LOGIN=true. Mirá qué deja expuesto:
docker port <openrag-langflow> 7860      # 0.0.0.0:7860 = alcanzable fuera del host

Paso 2: Actualizá según el tipo de instalación

Un arreglo en disco no hace nada por un proceso que cargó el código viejo, así que cada tarjeta termina en un reinicio o recreación. Antes de arrancar, respaldá la base de datos, el directorio de configuración y la secret key — la 1.13.0 además mueve las knowledge bases locales de Chroma a SQLite en el primer arranque, y una actualización mal configurada en Docker puede perder datos.

pip install --upgrade "langflow==1.13.0"
uv pip install --upgrade "langflow==1.13.0"   # si usás uv
langflow --version                             # 1.13.0

docker pull langflowai/langflow:1.13.0
docker buildx imagetools inspect langflowai/langflow:1.13.0 | grep -m1 Digest
#   image: langflowai/langflow:1.13.0@sha256:<digest>
docker compose pull && docker compose up -d --force-recreate
docker compose exec app curl -s http://127.0.0.1:7860/api/v1/version

LANGFLOW_AUTO_LOGIN=false
LANGFLOW_SUPERUSER=<usuario-existente>     # por defecto: langflow
LANGFLOW_SUPERUSER_PASSWORD=<contraseña-fuerte>
LANGFLOW_SECRET_KEY=<mantené la misma clave para desencriptar los flujos>

Paso 3: Mitigá lo que hoy no podés actualizar

IBM no ofrece workaround y dice que 1.13.0 es el arreglo. Lo que sí podés hacer es sacar las condiciones previas: mantené a los que llaman sin confianza fuera del servidor y apagá la variable que reparte sesiones.

# No publiques Langflow en todas las interfaces. Atalo a localhost y poné delante
# un proxy inverso que autentique (es la recomendación de la propia Langflow).
docker run -p 127.0.0.1:7860:7860 ...    # NO -p 7860:7860, que ata a 0.0.0.0

# Docker publica los puertos en todas las direcciones por defecto y se saltea las
# reglas de ufw del host para ellos, así que fijá la dirección en vez de confiar en el firewall.

# Cerrá el camino sin autenticar documentado: apagá el auto-login y exigí contraseña.
# La 1.13.0 hace exactamente esto por defecto; en 1.12.x lo configurás vos.
LANGFLOW_AUTO_LOGIN=false
LANGFLOW_SUPERUSER=<usuario-existente>    # por defecto: langflow
LANGFLOW_SUPERUSER_PASSWORD=<contraseña-fuerte>   # sin esto el arranque falla cerrado
LANGFLOW_ENABLE_SUPERUSER_CLI=false       # recomendado por la documentación
LANGFLOW_SECRET_KEY=<tu-propia-clave-de-32-bytes>

# Si la instancia estuvo expuesta alguna vez, rotá la clave Y re-encriptá los secretos
# que protegía (variables globales, API keys de componentes, credenciales guardadas):
uv run python scripts/migrate_secret_key.py --dry-run
uv run python scripts/migrate_secret_key.py

Conclusión

Dos 9.8 sin autenticar en una plataforma de ejecución de código es casi el peor caso para una aplicación web, y el giro acá es el alcance: Langflow no es solo algo que vos auto-hospedás, es el motor dentro de OpenRAG y otros productos RAG, y todos ellos quedan en el rango 1.0.0–1.12.8 hasta que rebasen sobre 1.13.0.

La buena noticia es que el arreglo es limpio y las mitigaciones son concretas. Actualizá a 1.13.0, que apaga el auto-login por defecto; donde todavía no puedas actualizar, apagá el auto-login vos mismo, mantené el servidor fuera de internet detrás de un proxy que autentique y rotá cualquier secreto que haya tenido mientras estuvo expuesto. Los CVE no están hoy en el KEV de CISA, pero el historial de Langflow dice que esa ventana puede cerrarse rápido.

Fuentes

• IBM — Boletín de seguridad: Langflow OSS afectado por múltiples vulnerabilidades (7294467)
• CVE.org — Registro de CVE-2026-93680 (bypass de autenticación, CVSS 3.1 9.8)
• CVE.org — Registro de CVE-2026-110186 (inyección de código → RCE, CVSS 3.1 9.8)
• Langflow — Notas de la release v1.13.0 (auto-login apagado por defecto)
• Documentación de Langflow — API keys y autenticación (AUTO_LOGIN, superusuario, secret key)
• Rapid7 — Metasploit wrap-up: Langflow, MongoDB y más (módulo de bypass de autenticación)
• Ostorlab — Análisis del bypass de auto-login de Langflow (CVE-2026-93680)
• The Hacker News — Fallos críticos de Langflow permitirían a atacantes ejecutar código
• GBHackers — Vulnerabilidades críticas de Langflow AI permiten RCE sin autenticar
• CISA — Catálogo de vulnerabilidades explotadas conocidas (KEV)