Langflow OSS で認証済みユーザーによるコード実行が3件（CVE-2026-107327〜107329、IBM 評価 CVSS 9.9）: 1.0.0〜1.12.4 が対象、1.12.5 で修正

IBM は 2026-10-19 公開のセキュリティ情報で、オープンソースのローコード AI ワークフロー基盤 Langflow OSS の脆弱性を複数開示しました。NVD には 10/29 に CVE-2026-107327・107328・107329 の 3 件が登録されています。対象は 1.0.0 から 1.12.4 で、いずれも「ログインできる相手が任意のコードを実行できる」内容です。修正版は 1.12.5 で、PyPI には 2026-10-06 に公開されています。

何が起きるか

3 件とも、IBM の説明は「リモートの認証済み攻撃者が任意のコードを実行できる」です。細かい原因は次のとおりで、公開情報にあるのはここまでです。

• CVE-2026-107327: 認可の欠落（CWE-862）。組み込みのコード実行コンポーネントに、攻撃者が用意した入力を渡して動かせる、と IBM は説明しています。
• CVE-2026-107328: eval／exec に渡すコードの無害化が不十分（CWE-94）。
• CVE-2026-107329: コード生成の制御が不十分（CWE-94）。
• 条件は、有効なアカウントでログインできることです。画面操作は要らず、ネットワーク越しに成立します。
• Langflow は他のサービスの API キーやモデルの認証情報を保持することが多く、サーバー上でコードが動くと、それらの持ち出しや内部ネットワークへの踏み台化につながり得ます（一般的な影響の推定）。
• 同じセキュリティ情報には、ほかにも CVE-2026-107326（OS コマンドインジェクション）と CVE-2026-110309（コード生成の制御不備）が載っています。この記事では、NVD で内容を確認した 3 件を扱います。

評価の状況

• 3 件とも NVD の状態は Analyzed です。IBM の評価は CVSS v3.1 で 9.9（AV:N／AC:L／PR:L／UI:N／S:C／C:H／I:H／A:H）、NVD 自身の評価は 8.8（同じ条件で影響範囲が変わらない S:U）です。取得日は 11/2 です。
• EPSS は 107327 が 0.0067（約 0.7%、パーセンタイル 52.1）、107328 と 107329 が 0.0085（約 0.9%、パーセンタイル 58.3）で、いずれも 11/1 付です。
• CISA の KEV カタログ（2026.10.30 版、1,766 件）には載っていません。CISA 調整役の SSVC 評価（10/30 付）は、悪用なし（none）、自動化不可（no）、技術的影響は全面的（total）でした。

修正の状況

• 修正版は Langflow OSS 1.12.5 です。PyPI の公開日は 2026-10-06 で、IBM の情報も 1.12.5 への更新を強く勧めています。NVD の影響範囲は 1.0.0 以上 1.12.5 未満です。
• 11/2 時点の PyPI の最新版は 1.13.0 で、1.12.5 以降は修正を含みます。
• MCP の stdio を使う構成には、更新に加えて設定の制限も勧めています。LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true でシェルスクリプトの直接実行を拒否し、LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true で管理者以外の MCP stdio 利用を止めます。設定後はサービスの再起動が必要で、既存の MCP 起動設定の変更が要ることがあります（IBM）。
• 公開ワークフローでは、カスタムコンポーネントの既定の制限を維持するよう案内されています。

対応として考えられること

1. 自組織の Langflow OSS の版を確認し、1.0.0〜1.12.4 なら 1.12.5 以降（できれば現行の 1.13.0 系）へ更新します。更新前にバックアップを取り、フローの動作を試します。
2. MCP stdio を使っている場合は、上記 2 つの環境変数を設定してサービスを再起動します。
3. すぐに更新できない場合は、Langflow へログインできるアカウントを最小限にし、管理画面と API を信頼できるネットワークに限ります（推定）。
4. 保存されている API キーや認証情報は、不審なコード実行の兆候があれば再発行します。サーバーの実行記録で、見慣れないフロー作成やコンポーネント実行がないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• 公開済みの概念実証コードの有無は確認していません。
• 3 件それぞれの具体的な攻撃経路（どの API・コンポーネントか）は、公開情報では確認できていません。
• Langflow OSS の公開インスタンスや該当構成の数は確認していません。1.0.0 より前の版が影響を受けるかも確認していません。