Langflow兩項高危漏洞：未登入也可能成為AI工作流程入口
開源 AI 工作流程開發平台 Langflow 被揭發有兩項 CVSS 評分達 9.8 的重大漏洞。iThome 報道指出，受影響的是 OSS 1.0.0 至 1.12.8；攻擊者可能從遠端繞過身分驗證，或在毋須登入下執行任意程式碼。Langflow 已推出 1.13.0 修補。
風險的重點在於，Langflow 常被用來把大型語言模型、外部工具和自訂元件串成 agent 或自動化流程。一旦部署環境把這類平台連接至內部服務、密鑰或其他工具，未授權程式碼執行的影響範圍便可能超出單一 app。本次資料未列出已獲確認的大規模實際利用個案，因此不宜把漏洞等同已發生的入侵事故。
兩條可被利用的路徑
iThome 引述 IBM 指出，CVE-2026-93680 屬於身分驗證處理不當，遠端未授權人士或可繞過存取限制；報道亦稱，Langflow 先前對自動登入安全控制的修補並不完整。
另一項 CVE-2026-110186 則關乎程式碼生成控制不足，可能讓未登入的遠端攻擊者執行任意程式碼。iThome 指出，MCP 工具列舉功能可能是其中一條攻擊途徑。MCP 的用途原是讓外部程式查詢和使用 Langflow 提供的工具；對採用 agent 工作流程的團隊而言，這正好反映「工具可被發現」與「工具可被安全地呼叫」需要分開處理。
報道另列出兩項較低評分漏洞：CVE-2026-110193（CVSS 8.8）可能容許已登入的低權限用戶，透過 Agentic Assistant 令未被安全檢查攔截的元件程式碼在 server 執行作業系統指令；CVE-2026-110192（CVSS 6.5）則涉及 API 憑證保護不足。至於隨 Langflow 包含的 Hono 框架，iThome 所列的 URL 參數解析、RAM 資源耗盡和靜態網站產生路徑遍歷問題，能否利用仍取決於實際設定及執行環境。
對部署團隊的實際優先次序
對自建 AI 自動化流程的公司與開發者，首要工作是盤點是否仍在運行 1.0.0 至 1.12.8，並安排升級至 1.13.0。
同時，1.13.0 的官方發行套件已把自動登入改為預設關閉。原本依賴該設定的環境，應先確認既有帳戶可用密碼登入，再調整部署安排。這是營運連續性與存取控制之間很實際的取捨：安全預設值收緊後，團隊要把帳戶登入、密鑰保存及工作流程連接的外部工具，一併納入變更檢查。
香港使用 Langflow 的團隊同樣應檢視自管部署，尤其是把平台接入內部系統或自訂工具的個案。接下來值得觀察的是，其他視覺化 AI agent 開發平台會否跟進檢視自動登入、工具列舉和元件程式碼執行等預設安全設計。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — AI應用開發平臺Langflow修補2項重大漏洞，攻擊者可繞過身分驗證或遠端執行程式碼 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
