Podatności IBM Langflow OSS

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku wstrzyknięcia kodu podczas budowania grafu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji znaków specjalnych w poleceniach.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu oraz dostęp lub modyfikację sesji czatu poprzez publicznie udostępnione punkty końcowe projektów MCP, z powodu nieprawidłowego egzekwowania ograniczeń bezpieczeństwa publicznych przepływów i izolacji sesji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera poprzez zapisanie przepływu z spreparowaną wartością pola typu i wywołanie budowy przepływu opakowującego, który go odwołuje. Umożliwia to eskalację uprawnień od 'uwierzytelnionego użytkownika przepływów' do dowolnego wykonania poleceń na poziomie systemu operacyjnego, z pominięciem polityki LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwego egzekwowania ograniczeń bezpieczeństwa na publicznym punkcie końcowym A2A.

IBM Langflow OSS 1.0.0 do 1.9.6 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu do kont użytkowników z powodu niewłaściwego ograniczenia nadmiernych prób uwierzytelniania.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wejściowego użytkownika.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 zawiera podatność na niewłaściwą walidację wejścia w implementacji piaskownicy PythonREPL.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 jest podatny na zdalne wykonanie kodu bez uwierzytelnienia poprzez wstrzykiwanie zmiennych środowiskowych w programie ładującym MCP stdio. Podatność wynika z niekompletnej listy blokowanych zmiennych środowiskowych (brak SHELLOPTS, BASHOPTS i PS4) w pliku src/lfx/src/lfx/base/mcp/util.py.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 zawiera zakodowane na stałe poświadczenia (hasła lub klucze kryptograficzne), które są używane do uwierzytelniania przychodzącego, komunikacji wychodzącej z zewnętrznymi komponentami lub szyfrowania danych wewnętrznych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 umożliwia uwierzytelnionym użytkownikom eskalację uprawnień do superużytkownika poprzez bezpośrednią manipulację bazą danych. Pozwala to na wykonanie dowolnych poleceń systemowych i pełne przejęcie systemu z uprawnieniami usługi Langflow.

IBM Langflow OSS 1.0.0 do 1.10.0 ma podatność w logice uwierzytelniania webhook, która pozwala nieuwierzytelnionym użytkownikom na wyzwolenie wykonania dowolnego flowu, gdy WEBHOOK_AUTH_ENABLE jest ustawione na False (domyślnie).

Krytyczna podatność w IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 w punkcie końcowym /api/v1/validate/code. Umożliwia uwierzytelnionemu atakującemu wykonanie dowolnego kodu Python na serwerze bez sandboxingu, co prowadzi do zdalnego wykonania kodu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera krytyczną podatność na zdalne wykonanie kodu w mechanizmie buforowania dyskowego. Klasa AsyncDiskCache używa niebezpiecznej funkcji pickle.loads() do deserializacji obiektów z dysku bez walidacji, weryfikacji integralności ani uwierzytelniania.

IBM Langflow OSS wersje 1.0.0 do 1.10.0 (do commitu 94981c443d4918517b9e8163d70fc598dc33a32d) zawiera podatność na wstrzykiwanie kodu w komponencie Policies przez integrację ToolGuard, która omija kontrolę allow_custom_components=false, umożliwiając uwierzytelnionym użytkownikom z uprawnieniami do tworzenia przepływów wykonanie dowolnego kodu Python na serwerze.

Podatność w IBM Langflow OSS w wersjach 1.0.0 do 1.10.0. Endpoint /api/v1/login/auto_login wydaje długotrwałe tokeny superużytkownika bez uwierzytelnienia, gdy włączona jest konfiguracja AUTO_LOGIN (domyślnie włączona). Dodatkowo, permisywne ustawienia CORS mogą ujawnić tokeny niezaufanym źródłom.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą ujawnienie wszystkich przechowywanych poświadczeń. Problem wynika z użycia słabego i odwracalnego mechanizmu wyprowadzania klucza do szyfrowania danych w spoczynku.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą uwierzytelnionym atakującym wykonanie dowolnych poleceń systemu operacyjnego oraz odczyt wrażliwych plików, w tym poświadczeń. Prowadzi to do całkowitego przejęcia systemu i umożliwia ruch boczny w sieci.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą użytkownikom z dostępem do Redis wykonanie dowolnego kodu z pełnymi uprawnieniami aplikacji. Luka ta zagraża poufności wszystkich sekretów, danych oraz integralności systemu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą zdalne wykonanie dowolnego kodu. Problem wynika z nieprawidłowej walidacji węzłów przepływu, które mają brakujące lub puste pola typu komponentu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera podatność polegającą na nieprawidłowym egzekwowaniu autoryzacji w punkcie końcowym transportu Streamable MCP. Umożliwia to nieuwierzytelnionym atakującym dostęp do chronionych zasobów projektu MCP oraz wykonywanie operacji MCP.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 w trybie głosowym nieprawidłowo zarządza współdzielonym stanem, co umożliwia ponowne wykorzystanie klientów API pomiędzy dzierżawcami. Uwierzytelniony atakujący może manipulować stanem pamięci podręcznej, powodując przetwarzanie żądań innych użytkowników z użyciem nieprawidłowych poświadczeń API, co prowadzi do błędnego przypisania kosztów i odpowiedzialności między dzierżawcami.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera krytyczną podatność, która pozwala atakującemu na odczyt wszystkich sekretów dostępnych dla procesu Langflow, odczyt i modyfikację wszystkich przepływów, konwersacji, wiadomości, przesłanych plików oraz zapisanych komponentów w bazie danych Langflow. Atakujący może również łączyć się z wewnętrznymi usługami, nadużywać punktów końcowych metadanych chmury, przemieszczać się lateralnie do innych dzierżawców w tej samej instancji Langflow oraz utrwalić dostęp poprzez modyfikację `tool_code` publicznego przepływu, co powoduje ponowne wykonanie kodu atakującego przy każdym wywołaniu `/api/v1/build/...` przez dowolnego użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić nieuwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić uwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić nieuwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.

W IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 występuje nieprawidłowa izolacja kluczy pamięci podręcznej w komponencie MCP Tools. Uwierzytelniony atakujący może uzyskać dostęp do kontekstu serwera MCP innego użytkownika.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwego ograniczenia ścieżki do katalogu objętego ograniczeniami.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administratora na wykonanie dowolnych poleceń systemowych na serwerze z uprawnieniami procesu aplikacji. Atakujący tworzy przepływ z komponentem MCP Tools skonfigurowanym do lokalnego transportu stdio, omijając zabezpieczenia LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY oraz LANGFLOW_BLOCK_CODE_INTERPRETER_COMPONENTS.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku nieprawidłowej neutralizacji znaków specjalnych w nazwach wyświetlanych przepływów. Luka umożliwia wstrzyknięcie kodu przez pole nazwy przepływu.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala zdalnemu uwierzytelnionemu atakującemu na wykonywanie przepływów i uzyskanie informacji wrażliwych z powodu niewystarczającego wygasania sesji kluczy API po dezaktywacji użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 — opis podatności nie został podany w dostarczonym źródle.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na uzyskanie informacji wrażliwych z wewnętrznych zasobów sieciowych z powodu niewłaściwej walidacji adresów URL dostarczanych przez użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu Python z powodu niewłaściwej autoryzacji niestandardowych komponentów w zapisanych przepływach.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 zawiera niekompletną listę blokowanych zmiennych środowiskowych. Uwierzytelniony zdalny atakujący może to wykorzystać do wykonania dowolnego kodu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 może pozwolić zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików z powodu nieprawidłowej kontroli dostępu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej walidacji punktów końcowych API kontrolowanych przez użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 nieprawidłowo waliduje argumenty wiersza poleceń w konfiguracji serwera MCP stdio. Uwierzytelniony zdalny atakujący może wykonać dowolne polecenia.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 wykonuje niekontrolowane wywołanie eval() na danych kontrolowanych przez atakującego. Uwierzytelniony zdalny atakujący może wykonać dowolny kod.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 posiada niekompletną listę blokowanych elementów w skanerze bezpieczeństwa. Uwierzytelniony atakujący może wykonać dowolny kod.

IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 pozwala atakującemu przesłać kod komponentu, który omija statyczny skaner bezpieczeństwa poprzez spreparowane przypisanie w ciele klasy z aliasem prowadzącym do niebezpiecznej funkcji. Błąd logiczny powoduje, że rozwiązana wartość nie jest sprawdzana względem listy blokowanych funkcji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala uwierzytelnionemu atakującemu na dostęp do plików innych użytkowników z powodu nieprawidłowej kontroli dostępu w komponencie File/Read File. Podczas wykonywania przepływów przez endpoint /api/v1/run/advanced/{flow_id} aplikacja pozwala na odwoływanie się do ścieżek przechowywania przy użyciu dowolnych identyfikatorów użytkownika lub przepływu bez weryfikacji właściciela, co umożliwia odczyt plików przesłanych przez innych użytkowników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF). Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania wrażliwych informacji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.2 zawiera podatność związaną z nieprawidłową autoryzacją. Zdalny uwierzytelniony atakujący może uzyskać wrażliwe informacje oraz wstrzykiwać wiadomości do historii przepływów pracy.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.2 zawiera podatność polegającą na nieprawidłowym ograniczeniu ścieżki do katalogu zastrzeżonego. Zdalny uwierzytelniony atakujący może uzyskać wrażliwe informacje.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.2 zawiera podatność na przechodzenie do katalogów (directory traversal). Zdalny atakujący może wysłać specjalnie spreparowane żądanie URL z sekwencjami '..' aby wyświetlić dowolne pliki w systemie.

IBM Langflow OSS w wersjach 1.0.0-1.10.2 może pozwolić uwierzytelnionemu atakującemu na przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../) w celu wyświetlenia dowolnych plików w systemie.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 pozwala uwierzytelnionemu atakującemu na odczyt dowolnych plików z systemu plików serwera — w tym tajnych materiałów serwera (secret_key, klucze podpisywania JWT, baza danych aplikacji, /proc/self/environ oraz katalogi przesyłania innych dzierżawców) — poprzez podanie ścieżek bezwzględnych lub sekwencji traversal w parametrze files uwierzytelnionego żądania budowy. Zawartość plików była osadzana jako załączniki tekstowe w promptcie modelu językowego i przesyłana do skonfigurowanego punktu końcowego modelu, co skutkowało eksfiltracją poufnych danych. Obejściu uległa granica LANGFLOW_RESTRICT_LOCAL_FILE_ACCESS=true, która była egzekwowana dla innych komponentów odczytujących pliki, ale nie dla potoku załączników od wejścia czatu do wiadomości.