目次（5）
CVE-2026-110200
IBM は 10/19 公開のセキュリティ情報（node 7293016）で、Langflow OSS の複数の脆弱性をまとめて案内しています。そのうち CVE-2026-110200 は、「認証済みのリモートの攻撃者が、機密情報の平文での保存（cleartext storage）が原因で、機密情報を取得できる」問題です。NVD には 10/29 に登録されました。CNA の IBM の説明は 1 文だけで、どの情報が、どこに平文で保存されるのかは書かれていません。 NVD の状態は「Analyzed」ですが、CVSS v3.1 の 6.5（Medium）は IBM（CNA）が付与した値で、NVD 自身の独自評価は見当たりません。
何が起きるか
- 弱点の分類は CWE-312（重要な情報の平文での保存）です。
- 保存された機密情報（パスワード、API キー、接続情報などが考えられますが、IBM の説明には書かれておらず未確認です）が暗号化などの保護なしに置かれ、有効なアカウントを持つ攻撃者がそれを読み取れる、という説明です。
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N（6.5）で、ネットワークから、特別な条件なしに、低い権限のアカウントがあれば試せ、影響は機密性だけが高とされています（IBM の値）。
- 認証が必要なため、アカウントを持たない外部の攻撃者には直接は届かないと読めます。ただし、Langflow に複数の利用者がいる環境や、データベース・バックアップが共有される環境では、平文の情報が見える範囲が広がる可能性があります（本記事の推定）。
- 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。
影響を受ける条件と評価
| 項目 | 内容 |
|---|---|
| 対象 | CNA の記載は「IBM Langflow OSS 1.0.0 から 1.12.4」。NVD の構成情報は「1.0.0 以上 1.12.5 未満」 |
| 前提 | 対象のインスタンスにネットワークから到達でき、有効なアカウントを持っていること |
| CVSS | v3.1 は 6.5（Medium、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N）。IBM（CNA）が付与した値 |
| 状態 | NVD の状態は「Analyzed」（CVSS は IBM の値のみ） |
| EPSS | 0.23%（パーセンタイル 14.3%、10/31 時点、FIRST） |
| 修正 | NVD の構成情報が 1.12.5 未満を対象とし、1.12.5 以降への更新が案内されている。1.12.5 は PyPI で 10/6 の公開 |
版の整理
- 確認時点の PyPI では、langflow の 1.12.4 は 9/29、1.12.5 は 10/6、1.12.6 は 10/13、1.13.0 は 10/22 の公開です。
- 1.12.5 以降なら本件の対象外と読めます（NVD の構成情報に基づく。修正の中身は未確認）。
- 同じ IBM の案内に含まれる別の CVE（CVE-2026-110244、CVE-2026-110245、CVE-2026-77817、CVE-2026-107366 など）は別の記事で扱っています。更新先は共通して 1.12.5 以降です。
対応として考えられること（本記事の推定）
- Langflow の版を確認します。1.12.5 より前なら、バックアップを取り、1.12.5 以降へ更新して、フローの動作を確かめます。
- Langflow に保存している API キーや接続情報、パスワードの一覧を作ります。更新後に保存のされ方が変わるかは未確認のため、必要に応じて入れ替え（再発行）を検討します。
- Langflow のデータベースやバックアップの保管先と、それを読める人・システムを確認します。
- 更新までの間は、アカウントを発行する範囲を絞り、保存する秘密情報を必要最小限にします。
未確認の点
- 悪用の報告は確認できていません。KEV にも載っていません。
- どの情報が、どこに（データベース、設定ファイル、画面の応答など）平文で保存されるのかは、IBM の説明に書かれておらず確認できていません。修正の中身も未確認です。
- CVSS は IBM の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証が必要で機密性への影響が中心とされる点から medium にしました。
- 当サイトでは、挙動を再現していません。ソースコードの確認も行っておらず、記載は IBM のセキュリティ情報と NVD の記載に基づきます。
- 日付は、IBM のセキュリティ情報の公開日（2026-10-19）と NVD の登録（2026-10-29 16:17 UTC）に基づきます。
この記事について
- 執筆・編集
- World Security 編集部
