Falhas críticas no Langflow permitem execução remota de código sem autenticação
O Langflow, ferramenta open-source muito usada para montar agentes e fluxos de IA, acumula quatro vulnerabilidades que vão de bypass de autenticação a execução remota de código, duas delas com CVSS 9.8. A mais grave decorre de uma configuração de login automático (LANGFLOW_AUTO_LOGIN) ativada por padrão, que registra qualquer visitante não autenticado como superusuário. Já existe módulo público no Metasploit explorando uma das falhas, o que eleva significativamente o risco para instalações expostas.
O Langflow é um construtor visual de agentes e pipelines de IA que se popularizou como camada de orquestração sobre LLMs, integrando o Model Context Protocol (MCP) e outras ferramentas de automação. A IBM, que recebe os relatórios de vulnerabilidade do projeto, divulgou quatro CVEs que afetam todas as versões de 1.0.0 até 1.12.8, corrigidas apenas na 1.13.0, lançada em 22 de outubro. Isso significa que praticamente todo o histórico do produto em produção estava exposto até a atualização.
A falha mais crítica, CVE-2026-93680 (CVSS 9.8), não decorre de um bug clássico de parsing ou de injeção, mas de uma decisão de design: quando a variável de ambiente LANGFLOW_AUTO_LOGIN está habilitada — o que é o padrão de fábrica —, o sistema autentica automaticamente qualquer requisição como superusuário, sem exigir credenciais. Um atacante remoto sem conta basta apontar o navegador ou um script para a instância exposta para obter controle administrativo total. A segunda falha crítica, CVE-2026-110186, também com CVSS 9.8, decorre de controle impróprio de geração de código, permitindo execução arbitrária de comandos no servidor — o tipo de primitiva que, combinada com a anterior, dá a um atacante não autenticado o caminho completo de reconhecimento até execução de código. As outras duas, CVE-2026-110193 (injeção de código, 8.8) e CVE-2026-110192 (exposição de credenciais, 6.5), exigem autenticação prévia, mas ainda assim ampliam a superfície de escalada dentro de ambientes multiusuário.
Na prática, isso importa porque o Langflow não roda isolado: ele costuma ter credenciais de acesso a provedores de LLM, bancos de dados vetoriais, chaves de API de terceiros e, cada vez mais, permissões para disparar ações via MCP em outros sistemas. Comprometer a instância não é apenas vazar um painel administrativo — é herdar as credenciais e integrações que o agente de IA foi configurado para orquestrar, abrindo caminho para movimentação lateral, exfiltração de dados ou abuso das próprias ferramentas que o agente tem permissão de acionar. A existência de módulo no Metasploit para CVE-2026-93680 indica que a exploração já está automatizada e acessível a atacantes de baixa sofisticação, não só a pesquisadores.
O caso ilustra um padrão recorrente em ferramentas de orquestração de IA que cresceram rápido: configurações de conveniência pensadas para ambientes de desenvolvimento (auto-login para facilitar testes) acabam chegando a produção com o padrão inseguro ligado. Equipes que rodam Langflow devem atualizar imediatamente para 1.13.0, desativar explicitamente LANGFLOW_AUTO_LOGIN em qualquer ambiente exposto à internet e tratar a instância como um sistema com privilégios equivalentes aos das credenciais e integrações de IA que ela gerencia.