De Langflow kwetsbaarheden waar IBM recent voor waarschuwt, zijn serieus: aanvallers zonder account zouden authentication kunnen omzeilen en in bepaalde scenario’s zelfs arbitrary code kunnen uitvoeren op servers. Langflow is een open-source tool om AI-agenten en workflows te bouwen, en de kwetsbaarheden raken meerdere versies van de software.
Als je Langflow draait (on-premise, in een container of als onderdeel van een AI-workflow), is dit geen “volgende maand” risico. Hieronder zetten we uiteen wat er speelt, welke versies getroffen zijn en wat je praktisch kunt doen om je omgeving te beschermen.
Wat IBM meldt over de Langflow kwetsbaarheden
IBM geeft aan dat er twee kritieke tekortkomingen in Langflow zijn die een externe aanvaller zonder account kan misbruiken. Daardoor kan authenticatie worden omzeild, of kan de server worden blootgesteld aan het uitvoeren van code. In de melding wordt daarnaast aangegeven dat de problemen gelden voor releases vanaf 1.0.0 tot en met 1.12.8.
Op de IBM-pagina staat ook duidelijk dat de enige effectieve correctie is: upgraden naar Langflow 1.13.0. Volgens de beschikbare informatie is er geen werkbare workaround voor systemen die niet direct kunnen upgraden.
RCE via MCP: hoe modellen tools kunnen “opsommen”
Een van de gemelde tekortkomingen is volgens IBM unauthenticated remote code execution, te benutten via een proces rondom “model context protocol tool enumeration”. In gewone taal: via de manier waarop Langflow zich kan presenteren als leverancier van tools aan AI-apps die MCP ondersteunen, kan een aanvaller mogelijk informatie verzamelen en daardoor de deur openzetten naar gevaarlijk gedrag.
MCP (Model Context Protocol) wordt in de melding genoemd als de koppeling waarmee Langflow flows als tools kan aanbieden. Dat maakt het extra belangrijk om te kijken naar welke integraties je gebruikt en of er netwerktoegang bestaat tot de MCP-gerelateerde onderdelen.
Authenticatie-bypass: Metasploit verwijst al naar een CVE
Naast de RCE-variant meldt IBM ook een vorm van authenticatie-bypass. In de bron wordt beschreven dat een module in het Metasploit Framework al verwijst naar een CVE die gaat over het omzeilen van authenticatie.
Belangrijk detail: die Metasploit-module zou verbinding maken met het MCP-endpoint van een Langflow-server zonder credentials, een sessie opstarten en de tools opsommen die de server aanbiedt. In de beschrijving staat dat die module zelf geen code of commando’s op de server uitvoert.
Toch is dit wél relevant, omdat het wijst op echte, bruikbare toegangspaden. Zodra een aanvaller je tool-lijst kan zien of beïnvloeden, wordt verdere misbruikstap steeds haalbaarder.
Auto-login als risico: superusers zonder inloggen
Een tweede onderwerp in de IBM-bulletins is auto-login. Wanneer automatische login is ingeschakeld, zouden gebruikers volgens IBM worden ingelogd als superusers, zonder dat ze zich hoeven aan te melden.
IBM noemt de omstandigheid dat de instelling LANGFLOW_AUTO_LOGIN standaard aan kan staan in Langflow 1.12.8. In de codebeschrijving wordt daarbij expliciet gewaarschuwd dat auto-login authenticatie omzeilt en alleen bedoeld is voor ontwikkelomgevingen.
In de melding staat ook dat er getest is met auto-login aan op Langflow 1.8.4. Daarnaast meldt IBM dat er sprake is van een incomplete remediation van een beveiligingscontrole rond auto-login. Of installaties waarbij auto-login is uitgeschakeld ook nog kwetsbaar zijn, wordt in de bulletin niet eenduidig bevestigd.
Welke versies zijn getroffen?
Volgens de informatie in de melding zijn de problemen aanwezig in Langflow releases van 1.0.0 t/m 1.12.8. Daartegenover staat Langflow 1.13.0, dat als fix wordt aangemerkt.
De bron vermeldt bovendien dat 1.12.8 (uitgebracht op dezelfde dag als 1.13.0, namelijk 22 oktober) de kwetsbaarheden nog bevat. Er wordt ook aangegeven dat er geen nieuwere 1.12-release lijkt te zijn verschenen die het probleem oplost.
Geen workaround: upgrade naar 1.13.0 is de kern
IBM biedt geen praktische workaround voor omgevingen die niet meteen kunnen upgraden. Dat betekent dat je actieplan vooral neerkomt op het veilig migreren van je Langflow-omgeving naar 1.13.0.
Een extra belangrijke wijziging in Langflow 1.13 is dat auto-login uit staat als standaardinstelling. Daarmee wordt een direct aanvalsvlak kleiner.
Zo upgrade je verantwoord (incl. Docker)
De bron geeft een reeks stappen die je kunt volgen. Houd vooral rekening met beschikbaarheid en behoud van data.
- Maak backups van de database, de secret key en de geüploade bestanden.
- Als je server auto-login gebruikte, bereid je bestaande account dan voor op aanmelden met wachtwoord, zoals de upgrade-instructies van Langflow beschrijven.
- Upgrade de Python package: pip install –upgrade “langflow==1.13.0”.
- Gebruik je Docker? Ga dan naar de image langflowai/langflow:1.13.0 en bewaar de persistent data van je deployment.
Kun je na het upgraden niet inloggen? Volg dan de recovery-stappen waarnaar de upgrade guidance verwijst. De bron benadrukt dat je Langflow niet moet verwijderen of opnieuw installeren om toegang te herstellen, omdat dit je flows mogelijk permanent kwijt kan raken.
Extra: andere Langflow CVE’s en waarom 1.13.0 nog steeds belangrijk is
IBM publiceerde op 29 oktober CVE-records voor 29 andere Langflow-tekortkomingen. In de bron wordt bijvoorbeeld genoemd dat CVE-2026-104339 een score van 9.8 krijgt en ook betrekking kan hebben op het uitvoeren van code door een aanvaller zonder account. Tegelijk geeft de bron aan dat geen van de 33 CVE’s (inclusief de vier uit de bulletin) 1.13.0 als getroffen versie noemt.
Met andere woorden: ook als je al eerder “iets” had gepatcht, blijft upgraden naar 1.13.0 de centrale stap om deze concrete set problemen te mitigeren.
Waarom je dit moet combineren met bredere maatregelen
De kwetsbaarheden laten zien hoe snel AI-tools in productiesettings een nieuw soort aanvalsoppervlak creëren: integraties zoals MCP, automatische auth-instellingen en exposure naar het internet kunnen samen leiden tot ernstige impact.
Als je wilt werken aan een breder beveiligingsraamwerk rond netwerk- en applicatie-aanvallen, is dit een goed moment om ook te kijken naar signalen van aanvallen. Op onze site bespreken we bijvoorbeeld hoe je signalen van network-layer DDoS kunt herkennen, zodat je sneller kunt bijsturen wanneer een omgeving onder druk komt te staan.
Conclusie: wacht niet met de Langflow kwetsbaarheden
De Langflow kwetsbaarheden waar IBM over rapporteert, brengen een direct en ernstig risico met zich mee: externe aanvallers zonder account zouden authenticatie kunnen omzeilen en in bepaalde situaties code kunnen laten draaien. Omdat de bron aangeeft dat er geen workaround is, is de boodschap helder.
Upgrade naar Langflow 1.13.0, controleer dat auto-login niet opnieuw aan gaat, en zorg dat je backups op orde zijn. Zo verklein je het kans dat een kwetsbaar integratiepad of een fout ingestelde auth-mechanisme alsnog wordt misbruikt.
Bron: https://thehackernews.com/2026/11/critical-langflow-flaws-could-let.html
