Langflow严重漏洞可让未认证攻击者在服务器上运行代码
Critical Langflow Flaws Could Let Unauthenticated Attackers Run Code on Servers
AI 摘要据 The Hacker News 报道，IBM 上周通报开源 AI Agent 与工作流构建工具 Langflow 存在两处严重安全漏洞。远程且未经身份验证的攻击者可利用漏洞绕过认证机制或在服务器上执行任意代码。从 1.0.0 至 1.12.8 的所有 Langflow 版本均受此影响，官方唯一的修复方案是升级至 1.13.0 版本。目前这两处漏洞尚未被美国 CISA 列入已知被利用漏洞清单。
解读
发生了什么
2026年11月2日，The Hacker News 报道称，IBM 上周披露开源 AI 工具 Langflow 存在两个严重级别漏洞。漏洞允许未经身份认证的远程攻击者绕过身份验证，或在宿主服务器上执行任意代码。该问题波及 Langflow 自 1.0.0 至 1.12.8 的所有已发布版本，唯一的安全修复版本为 1.13.0。截至报道时，上述两项漏洞均未被收录进美国网络安全和基础设施安全局（CISA）的已知被利用漏洞清单。
为什么重要
Langflow 承担着连接大语言模型、向量数据库与业务系统 API 的编排中枢功能，其运行环境通常集中配置了高权限密钥与敏感数据。远程代码执行漏洞使外部攻击者无需任何凭据即可穿透系统边界，直接获取服务器底层操作权限。由于该工具原生支持执行脚本与外部接口交互，入侵者极易以受害主机为跳板对内部网络展开横向渗透。加之许多开发者在测试和搭建过程中习惯将实例直接暴露在公网，且缺少额外的网络边界防护，未授权漏洞极易被网络扫描工具快速定位并批量利用。
影响谁
- 运行 Langflow 1.0.0 至 1.12.8 版本的企业与开发者未修补实例面临被远程接管和数据泄露的直接风险，必须立即升级至 1.13.0 版本或切断公网暴露。
- 企业安全与网络运维部门需紧急排查资产清单与暴露面，对 AI 工具链增加身份验证前置网关，并核查历史日志中是否存在异常指令执行痕迹。
- 开源 AI 基础设施与 Agent 生态项目低代码编排软件的基础安全架构将面临更严格的审查，促使开发者更加审慎地对待从原型验证到生产落地的安全性规范。
背景
Langflow 是生成式 AI 领域常用的开源可视化开发平台，此前由 DataStax 维护，并在 DataStax 被 IBM 收购后由 IBM 负责相关漏洞与安全支持响应。随着企业从简单调用模型转向构建复杂的多智能体（Agent）工作流，低代码编排工具因大幅降低开发门槛而迅速普及。然而这类新型开源项目通常处于高频迭代周期中，研发侧重点多在功能适配与生态集成，基础安全审计往往滞后于版本演进。当缺乏严格隔离的实验性工具被快速引入生产或准生产链路时，软件本身的底层缺陷便直接构成了系统性风险。
和中国的关系
国内众多大模型开发团队、初创企业及科研人员在搭建 RAG 知识库和 Agent 流程时大量使用 Langflow，公网暴露的实验与测试实例并不在少数。若国内用户未能及时关注到海外开源软件的安全通告，未打补丁的云端实例极易面临自动化攻击和凭证泄露风险。相关团队需尽快收缩公网访问权限，排查旧版本资产并执行版本升级。
接下来关注
- 美国 CISA 后续是否会将这两项 Langflow 漏洞列入已知被利用漏洞（KEV）清单。
- 网络安全机构关于全网 Langflow 暴露实例的存量数据及 1.13.0 版本修补进展统计。
- 开源社区是否出现两处漏洞的概念验证代码（PoC）或野外主动利用案例。
摘要和解读由 AI 根据公开报道整理，以原文为准。