Langflow — Múltiples fallos críticos de ejecución de código y bypass de autenticación (CVE-2026-9198, CVE-2026-93680)

Fecha de publicación: 2 de noviembre de 2026
Categoría: Vulnerabilidad / Inteligencia Artificial

Introducción

Investigaciones de seguridad publicadas recientemente a través de boletines oficiales han revelado la presencia de múltiples vulnerabilidades críticas en Langflow, un popular framework de código abierto diseñado para la construcción de agentes y flujos de trabajo basados en Inteligencia Artificial. Los fallos descubiertos afectan a todas las versiones de Langflow OSS comprendidas entre la 1.0.0 y la 1.12.8, exponiendo a los despliegues predeterminados a ataques de ejecución remota de código (RCE) y omisión de controles de acceso sin necesidad de credenciales previas. Dado el uso generalizado de esta herramienta en entornos de desarrollo y producción para orquestar modelos de lenguaje grande (LLM), la exposición representa un riesgo sistémico significativo.

¿Qué es Langflow? (Análisis General)

Langflow actúa como una interfaz visual y un motor de ejecución basado en Python para encadenar componentes de IA, APIs y bases de datos vectoriales. Facilita la creación rápida de aplicaciones basadas en agentes autónomos. Sin embargo, debido a la naturaleza de su arquitectura, que procesa y ejecuta dinámicamente bloques de código y comandos definidos por el usuario, cualquier debilidad en sus subsistemas de autenticación o saneamiento de entradas se traduce catastróficamente en un compromiso total del servidor subyacente.

Las vulnerabilidades analizadas en este ciclo comprenden fallos confirmados oficialmente en la base de datos NVD:

  • CVE-2026-9198 (CVSS 9.8 - CRITICAL): Encadenamiento de endpoints (/api/v1/auto_login y /api/v1/validate/code) que permite a atacantes no autenticados acuñar tokens de superusuario y ejecutar código arbitrario mediante exec(). (CWE-94, incluido en CISA KEV).
  • CVE-2026-93680 (CVSS 9.8 - CRITICAL): Defecto de autenticación indebida que permite eludir restricciones de seguridad. (CWE-287).
  • CVE-2026-110186 (CVSS 9.8 - CRITICAL): Control inadecuado de la generación de código, facilitando ejecución remota. (CWE-94).
  • CVE-2026-110193 (CVSS 8.8 - HIGH): Fallo donde usuarios con privilegios bajos pueden manipular el asistente agéntico para ejecutar comandos de sistema operativo. (CWE-94).
  • CVE-2026-110192 (CVSS 6.5 - MEDIUM): Protección insuficiente de credenciales que expone información sensible. (CWE-522).
  • CVE-2026-104339 (CVSS 9.8 - CRITICAL): Neutralización inadecuada de elementos especiales en comandos del sistema operativo en versiones 1.0.0 a 1.2.3. (CWE-94).

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación se divide en varias fases que aprovechan deficiencias arquitectónicas en la gestión de sesiones y el protocolo de contexto de modelos (MCP):

  • Bypass de Autenticación y Auto-login: En configuraciones predeterminadas o en versiones con el parámetro LANGFLOW_AUTO_LOGIN habilitado (el cual viene activo por defecto en la versión 1.12.8), la aplicación genera automáticamente tokens de superusuario para cualquier peticionario de red sin solicitar credenciales.
  • Enumeración de Herramientas vía MCP: Mediante el protocolo Model Context Protocol (MCP), Langflow expone sus flujos como herramientas ejecutables para aplicaciones de IA externas. Módulos de explotación públicos (como los integrados en marcos de pruebas de penetración) logran conectarse al endpoint MCP sin credenciales, iniciar sesiones y enumerar las capacidades expuestas del servidor.
  • Ejecución de Código Arbitrario: Una vez obtenido el acceso mediante el bypass de autenticación, el atacante interactúa con interfaces de validación de código o asistentes agénticos (/api/v1/validate/code), inyectando cargas maliciosas que son evaluadas mediante funciones internas del lenguaje como exec() o interpretadas directamente a nivel de sistema operativo.

“La habilitación predeterminada de funcionalidades de auto-login en entornos de producción transforma una interfaz de desarrollo en una puerta de enlace abierta para la ejecución remota de comandos sin autenticación previa.”

Sistemas / Entornos Afectados

Se encuentran afectados todos los despliegues que utilicen las siguientes versiones del software:

  • Langflow OSS: Versiones desde 1.0.0 hasta 1.12.8 inclusive.
  • Entornos específicos: Servidores con la variable de configuración LANGFLOW_AUTO_LOGIN activada, así como aquellos que exponen endpoints MCP a redes públicas o no segmentadas.

Tabla de Vulnerabilidades Principales

CVE Categoría (CWE) Impacto CVSS Vector (Resumido)
CVE-2026-9198 CWE-94 RCE / Superusuario 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-93680 CWE-287 Bypass Autenticación 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-110186 CWE-94 Ejecución de Código 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-110193 CWE-94 Ejecución de Comandos OS 8.8 (High) AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVE-2026-110192 CWE-522 Exposición de Credenciales 6.5 (Medium) AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVE-2026-104339 CWE-94 Inyección de Comandos OS 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Mitigación y Detección

Remediación

La única solución definitiva proporcionada por el fabricante es actualizar la plataforma a la versión Langflow 1.13.0 (o superior), la cual deshabilita por defecto la característica de inicio de sesión automático y corrige las fallas de control de código.

  1. Realizar una copia de seguridad completa de la base de datos, la clave secreta (secret key) y los archivos subidos.
  2. Si el servidor utilizaba auto-login previamente, preparar las cuentas existentes para inicio de sesión mediante contraseña siguiendo las guías oficiales.
  3. Actualizar el paquete en entornos Python ejecutando:
    bash 
    pip install --upgrade "langflow==1.13.0"
  4. Para despliegues basados en contenedores Docker, migrar a la imagen oficial langflowai/langflow:1.13.0 asegurando la persistencia de volúmenes de datos. Nota de advertencia: Evite desinstalar o eliminar por completo la aplicación para recuperar acceso, ya que esto podría eliminar permanentemente los flujos configurados.

Detección

Los equipos defensivos (Blue Team) deben monitorear los registros de acceso en busca de peticiones no autorizadas hacia los endpoints /api/v1/auto_login, /api/v1/validate/code o conexiones inusuales al puerto de servicio MCP sin cabeceras de autorización válidas. Se aconseja auditar la presencia de marcos de pruebas automatizadas como Metasploit (langflow_auth_bypass_cve_2026_93680.rb) en los flujos de red perimetrales.

Recapitulando

Las vulnerabilidades críticas descubiertas en Langflow subrayan los riesgos asociados al despliegue predeterminado de herramientas de Inteligencia Artificial que priorizan la fricción cero en el desarrollo sobre los controles estrictos de seguridad. La combinación de omisiones de autenticación y capacidades de ejecución de código exige a las organizaciones auditar urgentemente sus entornos y aplicar los parches correspondientes hacia la versión 1.13.0 para mitigar la exposición a campañas de explotación activa.

Referencias