【要点】
◎Langflowに未修正のクリティカル脆弱性が判明し、トークン窃取やコード実行の恐れがあるため、当面は緩和策の実施が求められている。
【要約】
AIエージェント構築基盤Langflowに、CORS設定不備やCookie属性処理の問題、CSRF対策欠如によりトークン窃取が可能となる脆弱性CVE-2025-34291が確認された。奪取したトークンを用いてコード実行機能を悪用される恐れがあり、CVSSv4.0は9.4のCritical評価である。最新版1.6.9でもデフォルト構成では未修正で、次期1.7での恒久対策が予定されている。現時点では環境変数によるCORS設定変更などの緩和策が推奨され、開発側の修正対応が後回しになっている点も指摘されている。
【ニュース】
◆「Langflow」に未修正脆弱性、緩和策を - 報告者「修正が後回し」 (Security NEXT, 2025/12/08)
https://www.security-next.com/178088
