何が起きたか
NVDは(2026-10-01)、Langflowのコード検証エンドポイントにおけるコードインジェクションの調査結果を公開しました。ユーザーが提供したPythonがサンドボックスなしでサーバーサイドのcompile/exec検証パスで実行され、認証済み(および公開されたデプロイメントでは事実上すべての)呼び出し元が任意のコードを実行できるようになります。
なぜ重要か
LangflowはLLM/エージェントワークフローの構築に使用され、多くの場合機密性の高いモデル/データセット接続をホストしています。サーバー上のRCEは、攻撃者が接続されたモデルプロバイダーキー、RAGストア、およびAIスタックが依存するダウンストリーム認証情報を読み取れることを意味します。
攻撃経路
ユーザーが生のPythonソースコードを/api/v1/validate/codeエンドポイントに送信し、それがサンドボックスなしでサーバーサイドのcompile/exec検証パスに転送され、Langflowサーバー上での任意のPython実行が発生します。
影響を受けるシステム
langflow-ai langflow 1.9.3まで (src/backend/base/langflow/api/v1/validate.py)
緩和策
ベンダー修正 (GitHub issue langflow-ai/langflow#13336) を監視してください。/api/v1/validate/codeルートのネットワーク露出を制限してください。Langflowを最小権限のサーバーアクセスで実行してください。