Langflow OSS のメッセージ操作 3 エンドポイントで所有者確認がなく、認証済みの利用者が他人のメッセージを削除・改ざん・乗っ取れる（CVE-2026-107366）: IBM は 1.9.0 で修正済み・1.12.5 に含むと説明、NVD の影響版は 1.12.4 までで食い違い

World Security 編集部2026年10月31日公開

目次（5）

要点

Langflow OSS：メッセージ関連の 3 エンドポイントが所有者を確認せず、認証済みの利用者が他人のメッセージの一括削除・内容の上書き・セッション ID の付け替えをできると説明されている。再現は当サイトでは未実施
CVSS v3.1 は 8.3（IBM が付与、AV:N/AC:L/PR:L/UI:N、C:H/I:H/A:L）。NVD の状態は Awaiting Analysis で、NVD 自身の評価は未実施。EPSS 0.30%、KEV なし、悪用の報告なし
IBM は「1.9.0 で修正済み、1.12.5 はこれを含む」と説明する一方、影響版を 1.0.0 から 1.12.4 と記載しており、実際の影響範囲は食い違う（未確認）
1.12.5 以降へ更新。複数の利用者が使う環境では、アカウントの範囲の見直しも検討
影響版の正確な範囲、修正の中身、悪用の有無は未確認

CVE-2026-107366

IBM は 10/19 公開のセキュリティ情報（node 7293016）で、Langflow OSS の複数の脆弱性を取り上げ、そのうち CVE-2026-107366 を「メッセージ関連の 3 つのエンドポイントが所有者の確認をしていない」問題として説明しています。NVD には 10/20 に登録されました。CNA の IBM の説明によると、認証済みの利用者であれば、他の利用者のメッセージを一括削除する、メッセージの内容を書き換えて悪意あるプロンプトを仕込む、会話のセッション ID を付け替えて会話全体を乗っ取る、ことができます。 CVSS v3.1 は 8.3（High）で、この値を付けたのは IBM です（NVD 自身の評価は未実施で、状態は「Awaiting Analysis」）。

何が起きるか

弱点の分類は CWE-639（利用者が制御できる鍵による認可の回避）です。メッセージの ID やセッション ID を指定すると、その持ち主かどうかを確かめずに操作が通る、という種類の不備です。
IBM の説明にある操作は 3 つです。(1) 他の利用者のメッセージの一括削除、(2) メッセージ内容の上書き（悪意あるプロンプトの注入）、(3) セッション ID の付け替えによる会話の乗っ取り。
攻撃には Langflow のアカウント（認証）が必要です（CVSS の PR:L）。マルチユーザーで運用し、複数の利用者が同じ Langflow を使う環境で問題になります。1 人で使う構成では影響は限られると考えられます（本記事の推定）。
上書きされたメッセージが後続のフローで入力として使われる場合、注入されたプロンプトが意図しない動作につながるおそれがあります。どのフローが該当するかは構成によります。
当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。NVD に載っている CISA 協力の SSVC では exploitation「none」、automatable「no」、technical impact「total」です。

影響を受ける条件と評価

項目	内容
対象	NVD の記載は「Langflow OSS 1.0.0 から 1.12.4」。IBM のセキュリティ情報の影響版も 1.0.0 - 1.12.4
前提	認証済みの利用者（低権限でよい）が、対象のインスタンスにネットワークから到達できること
CVSS	v3.1 は 8.3（High、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L）。付与したのは IBM（NVD の種別は Secondary 表示）。NVD 自身の評価は未実施
状態	NVD の状態は「Awaiting Analysis」。影響版の構成情報（CPE）は未登録
EPSS	0.30%（パーセンタイル 23.0%、10/31 時点、FIRST）
修正	IBM は「CVE-2026-107366 は 1.9.0 で修正済み。1.12.5 はこの修正を含む」と説明。推奨する対応は 1.12.5 への更新

修正の状況と、食い違い

同じセキュリティ情報は、影響版を 1.0.0 から 1.12.4 と書く一方、本件は「1.9.0 で修正済み」とも書いています。両方を読むと、1.9.0 以降には本件の修正が入っているはずで、影響版が 1.12.4 までというのは、情報全体の対象範囲を示した記載と見られます。実際に影響を受けるのは 1.0.0 から 1.9.0 未満なのか、1.12.4 までなのかは、当サイトでは確認できていません。
確認時点の PyPI では、langflow の 1.12.5 は 10/6、1.12.6 は 10/13、1.13.0 は 10/22 の公開です。1.9.0 以降の版を使っていても、IBM が推奨する 1.12.5 以降への更新が安全側の対応です。
同じセキュリティ情報には、本記事とは別の脆弱性（CVE-2026-18894 など）も含まれ、いずれも別の記事で扱っています。

対応として考えられること（本記事の推定）

Langflow の版を確認します。1.12.5 より前なら、IBM の案内に沿ってバックアップを取り、1.12.5 以降へ更新して、フローの動作を確かめます。
複数の利用者が使う環境では、更新までの間、アカウントを必要な人に限り、利用者の追加を控えます。
不審な点検として、メッセージの削除・内容の変更・セッション ID の変更が、持ち主以外のアカウントから行われていないかを、ログがあれば確認します（ログの形式は構成によります）。

未確認の点

悪用の報告は確認できていません。KEV にも載っていません。
実際に影響を受ける版の範囲（1.9.0 未満か 1.12.4 まで）、修正の中身、3 つのエンドポイントの具体名は確認できていません。
本記事の severity 欄は、認証が必要でも利用者間の分離が破られ、機密性・完全性への影響が高いとされる点から high にしました。CVSS 8.3 は IBM の値で、NVD 自身の評価は未実施です。
当サイトでは、挙動を再現していません。ソースコードの確認も行っておらず、記載は IBM のセキュリティ情報と NVD の記載に基づきます。
日付は、IBM のセキュリティ情報の公開日（2026-10-19）と NVD の登録（2026-10-20 00:17 UTC）に基づきます。