--- title: "Langflow OSS の Agentic Assistant 経由で、低権限ユーザーがサーバー上の OS コマンドを実行できる（CVE-2026-110193、CVSS 8.8）: 1.13.0 で修正" url: https://n-t-p.io/worldsecurity/articles/langflow-oss-agentic-assistant-os-command-execution-cve-2026-110193-fixed-1-13-0 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月1日 updated: 2026年11月1日 severity: 高 cve: CVE-2026-110193 --- # Langflow OSS の Agentic Assistant 経由で、低権限ユーザーがサーバー上の OS コマンドを実行できる（CVE-2026-110193、CVSS 8.8）: 1.13.0 で修正 > **TL;DR:** Langflow OSS 1.0.0〜1.12.8 で、低権限のログイン済みユーザーが Agentic Assistant 経由でサーバー上の OS コマンドを実行できる（CVE-2026-110193、CWE-94）。CVSS v3.1 は 8.8（IBM＝CNA の値）、EPSS は 0.00777、KEV なし。1.13.0 で修正、悪用は未確認。 **要点** - Langflow OSS 1.0.0〜1.12.8 で、低権限のログイン済みユーザーが Agentic Assistant 経由で OS コマンドを実行できる（CWE-94） - CVSS v3.1 は 8.8 HIGH（IBM＝CNA の値）。EPSS は 0.00777、KEV なし、CISA SSVC は悪用なし - 修正版は 1.13.0（2026-10-22 公開）。暫定的な回避策は提供されていない（IBM） - 実際の攻撃での悪用は未確認。ブロックを通る具体的な書き方も未確認 - 低権限アカウントの絞り込み、公開範囲の限定、更新後の履歴確認は推定 NVD は 2026-10-29 に、Langflow OSS の CVE-2026-110193 を登録しました。Langflow OSS 1.0.0 から 1.12.8 までは、低権限のログイン済みアカウントを持つ攻撃者が、組み込みの「Agentic Assistant」に、ブロックされていないパターンを使ったコンポーネントのコードを生成させたり提出させたりでき、サーバー上で任意の OS コマンドを実行できます（CWE-94: コード生成の不適切な制御）。CVSS v3.1 は 8.8（HIGH）で、CNA の IBM の値です。IBM は 1.13.0 への更新を勧告しています。 ## 何が起きるか - 対象は Langflow OSS 1.0.0 から 1.12.8 までです（IBM の勧告。NVD の構成情報では 1.13.0 未満）。 - 攻撃に必要なのは、低権限であってもログイン済みのアカウントです。Agentic Assistant にコードを作らせる、または提出する経路で、コード検査のブロックを通る書き方を使うと、サーバー側で OS コマンドが動きます。 - CVSS ではネットワーク越し・攻撃条件の複雑さ低・必要な権限は低・ユーザーの関与なしで、機密性・完全性・可用性のすべてが「高」です。 - CISA の SSVC 評価（NVD に掲載）は、悪用なし（none）、自動化できない（automatable: no）、技術的影響は全面的（total）です。 - 実際の攻撃での悪用は確認していません。 ## 修正の状況 - IBM の勧告は、1.0.0 から 1.12.8 を使っている環境を Langflow OSS 1.13.0 へ更新するよう求めています。1.13.0 は 2026-10-22 に公開され、2026-11-02 時点でも最新のリリースです。 - 更新前に、データベース・シークレットキー・アップロード済みファイルのバックアップを取るよう、IBM は案内しています。自動ログインを使っている環境は、パスワードでのサインインに切り替える準備も必要です。 - 暫定的な回避策は提供されていません（IBM の勧告）。 - 同じ勧告には、同じ範囲の別の CVE も含まれています。 ## 数値と出典（2026-11-02 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-110193 | | NVD 公開日 | 2026-10-29 | | 影響版 | Langflow OSS 1.0.0〜1.12.8 | | 修正版 | 1.13.0（2026-10-22 公開） | | CWE | CWE-94（コード生成の不適切な制御） | | CVSS v3.1 | 8.8 HIGH（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。IBM（CNA）の値で、NVD 上は Secondary | | NVD の状態 | Analyzed（CVSS は CNA の値のみで、NVD 自身の値は付いていない） | | EPSS | 0.00777（パーセンタイル 0.56、FIRST、2026-11-01 付） | | KEV | 掲載なし（CISA のカタログ 2026.10.30 で確認できず） | ## severity を high とした理由 CVSS v3.1 が 8.8 で、サーバー上で OS コマンドを実行できるため影響は大きい一方、攻撃にはログイン済みのアカウントが必要です。CISA の SSVC では悪用なし・自動化できないとされ、EPSS は約 0.8%、KEV にも載っていません。認証不要の攻撃や実際の悪用が確認されていないため、critical にはせず high としました。 ## 対応として考えられること 1. Langflow OSS を使っているか、使っている場合の版を確認します。 2. 1.0.0〜1.12.8 なら、バックアップを取ったうえで 1.13.0 へ更新します。pip なら `pip install --upgrade "langflow==1.13.0"`、Docker なら `langflowai/langflow:1.13.0` を使います（IBM の案内）。 3. 更新までの間は、Langflow に低権限のアカウントを持たせる範囲を絞ります（推定）。 4. Langflow をインターネットに公開している場合は、到達できる範囲を限定します（推定）。 5. 更新後、Agentic Assistant の利用履歴や、サーバー上の不審なプロセスがないかを確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - ブロックを通る具体的な書き方や再現条件は、勧告に記載がなく確認できていません。 - NVD 自身の CVSS 評価は付いていません。CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-110193](https://nvd.nist.gov/vuln/detail/CVE-2026-110193) — NIST NVD - [CVE-2026-110193 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-110193) — CVE Program - [IBM Security Bulletin: Langflow OSS の複数の脆弱性（1.13.0 への更新）](https://www.ibm.com/support/pages/node/7294467) — IBM - [Langflow リリース（GitHub）](https://github.com/langflow-ai/langflow/releases) — Langflow（GitHub） - [FIRST EPSS CVE-2026-110193](https://api.first.org/data/v1/epss?cve=CVE-2026-110193) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/langflow-oss-agentic-assistant-os-command-execution-cve-2026-110193-fixed-1-13-0