Langflow OSS 1.0.0 から 1.12.4、公開ワークフローで保存済みの Python コンポーネントが実行されるおそれ（CVE-2026-18894）: IBM は 1.11.2 で修正済み・1.12.5 に含むと説明、CVSS は IBM 6.5 と NVD 9.8 で割れる

Langflow OSS の 1.0.0 から 1.12.4 に、公開ワークフロー（public workflow）経由で、あらかじめ保存されている Python コンポーネントのコードを、リモートの攻撃者が起動し、フローの所有者の権限でサーバープロセス内で実行させられる問題（CVE-2026-18894、CWE-94）が公表され、10/29 に NVD へ公開されました。公開側の実行経路はサーバーが信頼したコンポーネントのコードに限られるはずですが、その境界を越えられる、という内容です。IBM の勧告（セキュリティ情報 7293016）は、**この問題を 1.11.2 で修正済みとし、1.12.5 に更新するよう勧めています。**CVSS v3.1 は IBM が 6.5（Medium）、NVD が 9.8（Critical）と大きく割れています。

何が起きるか

• IBM の説明と NVD の説明は同じ内容です。「リモートの攻撃者が、公開ワークフローで保存済みの Python コンポーネントのコードを起動し、フローの所有者の実行権限でサーバープロセス内で実行させられる。公開の実行経路をサーバーが信頼したコンポーネントのコードに限る、という信頼境界を回避する」。
• 攻撃者が任意のコードを書き込める、とは説明されていません。実行されるのは「すでに保存されているコンポーネントのコード」です。そのため、IBM は機密性・完全性への影響を Low（C:L/I:L/A:N）と評価し、NVD は High（C:H/I:H/A:H）と評価しています。違いは影響の大きさの見積もりだけで、攻撃経路（ネットワーク経由、認証不要、操作不要）は同じです。
• 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（2026.10.30 版・1766 件で確認。Langflow の掲載は別の CVE のみ）。CISA 調整役の SSVC は、悪用なし・自動化可・技術的影響は部分的（exploitation: none、automatable: yes、technical impact: partial）です（10/29 付）。

影響を受ける条件と評価

項目	内容
対象	Langflow OSS 1.0.0 から 1.12.4（IBM の勧告の「影響を受ける版」。NVD も 1.0.0 以上 1.12.5 未満）。PyPI 上のパッケージは langflow
前提	公開ワークフローが有効で、保存済みの Python コンポーネントを含むこと（記述からの読み取り。構成ごとの条件は未確認）
CVSS（IBM）	v3.1 は 6.5（Medium、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N）。値は IBM の PSIRT が付けたもので、NVD の種別は Secondary
CVSS（NVD）	v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の種別は Primary。IBM との違いは、機密性・完全性・可用性の影響の大きさ
状態	NVD の状態は「Analyzed」（10/30 更新）。弱点の分類は CWE-94（コードの生成の不適切な制御）
EPSS	0.49%（パーセンタイル 42.0%、10/31 時点、FIRST）
修正	IBM は 1.11.2 で修正済み、1.12.5 は修正を含むと記載。更新先として 1.12.5 を推奨

修正の状況

• IBM の勧告は、1.0.0 から 1.12.4 を 1.12.5 に更新するよう勧めています。同じ勧告は、同時に公開された別の問題の修正の一部が過去の版で入っていたことも示しており、本件は 1.11.2、別の 2 件はそれぞれ 1.9.0 と 1.11.5 で修正済みで、1.12.5 はそれらを含む、としています。
• 公開された日付は、PyPI 上で 1.11.2 が 8/4（UTC）、1.12.5 が 10/6（UTC）です。現在の最新は PyPI 上で 1.13.0（10/22 公開）です。
• 勧告には、公開ワークフローではカスタムコンポーネントの既定の制限を保つよう書かれています。環境変数 LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS を明示的に有効にすると、カスタムコンポーネントの実行が許可され、本件で説明されている既定の保護が変わる、と案内されています。
• 影響を受ける版の記載（1.12.4 まで）と、修正版の記載（1.11.2）は、そのままでは食い違って見えます。勧告は、本勧告全体の対象を 1.0.0〜1.12.4 とし、個別の修正版を別に示す形で書かれており、1.11.2 から 1.12.4 のあいだの版が本件の影響を受けるかは、勧告からは判別できません。この点は当サイトでは確認できていません。

対応として考えられること（本記事の推定）

1. 自社で動かしている Langflow のバージョンを確認します（pip show langflow や、コンテナのイメージのタグ）。1.12.4 以前なら、勧告上は対象です。
2. 1.12.5 以降（できれば最新の安定版）に更新します。更新前にフローと設定のバックアップを取り、更新後にフローが動くかを試します。
3. 公開ワークフローを使っている場合は、LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS が有効になっていないことを確かめます。公開が不要なフローは公開を止めることも考えられます（この対処の効果は当サイトでは検証していません）。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• CVSS は IBM と NVD で値が違います。本記事の severity 欄は、認証なしでネットワークから到達できる一方、実行されるのが保存済みのコードに限られる点を踏まえ high にし、本文で両方の値を併記します。
• 当サイトでは、コードの実行を再現していません。ソースコードの確認も行っておらず、記載は IBM の勧告と NVD の説明に基づきます。
• 本件が 1.11.2 から 1.12.4 の版に影響するか、修正の中身（どの変更が当たるか）は確認できていません。
• 公開ワークフローがどの構成で有効になるか、実際にどの程度の権限で実行されるかは、勧告に詳細がなく未確認です。
• 日付は、NVD の公開（2026-10-29 16:18 UTC）と PyPI の公開日時に基づきます。