Langflow е от инструментите, с които хората 'щракат' AI агенти без код. Кутийки, стрелки, готово. Точно затова тази дупка боли толкова: инсталациите са много, а стопаните им рядко следят бюлетини.
Факт
Фактите: CVE-2026-9198 засяга Langflow OSS от версия 1.0.0 до 1.10.0 включително, оценка 9.8 от максимум 10. Веригата е от два неавтентикирани API адреса: /api/v1/auto_login издава SUPERUSER токен, а /api/v1/validate/code изпълнява подаден код - при инсталация по подразбиране това значи отдалечено изпълнение на код с пълни права, без никаква парола. Уязвимостта е публикувана на 17 юли, а на 4 август CISA я добави в каталога KEV на активно експлоатираните - за федералните агенции в САЩ срокът за кръпка е 7 август, три дни. Фиксът: версия 1.10.1 или по-нова. Източници: NVD и CISA KEV, 04.08.2026.
Питам се едно: колко от тези инсталации изобщо имат стопанин? Langflow се вдига за следобед - демо за шефа, експеримент на стажанта, прототип 'да видим дали работи'. После демото остава да върти на сървър с публичен адрес, и всички го забравят. Нискокодовите AI конструктори станаха инфраструктура, без да минат през дисциплината на инфраструктурата. Никой не им пише в календара 'кръпки всеки месец'.
И вторият пласт: тези системи по дефиниция държат ключове. Langflow инсталация без API ключове към модели и бази е рядкост, значи превзета инсталация не е просто още една машина. Тя е връзка към всичко, което демото някога е пипало.
Демото, което никой не помни, е входът, който всички търсят.
Провери днес: ако при теб или при клиент върти Langflow, вдигаш версията на 1.10.1 веднага, а публичният достъп пада зад VPN или поне зад автентикация на прокси ниво. И едно наум за всяко AI демо оттук нататък - или има стопанин и календар за кръпки, или се гаси.
Източници
NVD - CVE-2026-9198 (Langflow code injection), запис към 04.08.2026CISA - Known Exploited Vulnerabilities CatalogВизуалът към статията е генериран код-арт, без чужди изображения.