Langflow corrige duas falhas críticas de execução remota de código
Duas falhas críticas no Langflow, ferramenta open-source para criar agentes e fluxos de IA, permitem que atacante remoto sem conta contorne a autenticação ou execute código arbitrário, segundo a IBM. A única correção é a versão 1.13.0; todas as versões de 1.0.0 a 1.12.8 são afetadas. Nenhuma exploração foi relatada e as falhas não constam na lista KEV da CISA; atualize agora.
O que aconteceu
A IBM divulgou duas falhas críticas no Langflow, ferramenta open-source para criar agentes e fluxos de IA. Um atacante remoto, sem conta no sistema, pode contornar a autenticação e executar código arbitrário no servidor. A correção foi lançada na versão 1.13.0.
Por que importa
Todas as versões de 1.0.0 a 1.12.8 são afetadas. Uma invasão pode dar ao atacante controle total do servidor, com risco de roubo de dados e interrupção dos fluxos de IA. Toda empresa que usa Langflow em versão antiga está exposta.
O que fazer
Atualize o Langflow para a versão 1.13.0, a única correção. Enquanto não atualizar, restrinja o acesso à ferramenta e verifique os servidores em busca de atividade suspeita.
Para o time técnico
- Afetados
- Langflow (plataforma open-source de agentes e fluxos de IA, com relatos de vulnerabilidade tratados pela IBM) · Langflow, todas as versões de 1.0.0 a 1.12.8.
- Exploração
- Divulgado pela IBM e reportado pelo The Hacker News. Nenhuma exploração relatada nas fontes; as falhas não constam na lista KEV da CISA.
- Correção
- Versão 1.13.0, única correção disponível.
- Vetor
- Duas falhas no Langflow que permitem a um atacante remoto sem conta contornar a autenticação ou executar código arbitrário. Condição de exploração: acesso remoto ao serviço, sem login válido.
- Mais detalhes
- Os relatos de vulnerabilidade do Langflow são tratados pela IBM, segundo o The Hacker News.
Linha do tempo
Incidente aberto.
