【脆弱性内容】 (★: TT 脆弱性 Blog 内の詳細記事リンク)
| ★ |
CVE公開日 |
CVE登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v4 |
CVSS v3 |
CWE |
脆弱性 |
KEV公開日 |
備考 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 2025/08/25 | 2025/08/19 | CVE-2025-57760 | NVD | langflow-ai | - | 8.8(CISA-ADP) |
CWE-269 | 不適切な権限管理 | - | Langflow | |
| 2026/03/20 | 2026/03/17 | CVE-2026-33017 | NVD | langflow-ai | 9.3(GitHub) |
9.8(NVD) |
CWE-306 CWE-94 CWE-95 |
重要な機能に対する認証の欠如 コード・インジェクション Eval インジェクション |
- | langflow | |
| ★ | 2026/07/17 | 2026/05/21 | CVE-2026-9198 | NVD | IBM | - | 9.8(IBM) |
CWE-94 | コード・インジェクション | 2026/08/04 | Langflow OSS |
| 2026/08/28 | 2026/08/07 | CVE-2026-19286 | NVD | IBM | - | 9.8(IBM) |
CWE-94 | コード・インジェクション | - | Langflow OSS | |
| 2026/08/28 | 2026/08/07 | CVE-2026-19295 | NVD | IBM | - | 9.9(IBM) |
CWE-95 | Eval インジェクション | - | Langflow OSS | |
| 2026/08/28 | 2026/08/03 | CVE-2026-18729 | NVD | IBM | - | 8.8(IBM) |
CWE-94 | コード・インジェクション | - | Langflow OSS |
【Langflow 】
◆CVE-2026-33017 (まとめ)
https://vul.hatenadiary.com/entry/Langflow
【ニュース】
■2025年
◇2025年8月
◆「Langflow」に脆弱性、管理者権限を奪われるおそれ (Security NEXT, 2025/08/27)
https://www.security-next.com/173825
⇒ https://vul.hatenadiary.com/entry/2025/08/27/000000_3
◇2025年12月
◆「Langflow」に未修正脆弱性、緩和策を - 報告者「修正が後回し」 (Security NEXT, 2025/12/08)
https://www.security-next.com/178088
⇒ https://vul.hatenadiary.com/entry/2025/12/08/000000_3
■2026年
◇2026年3月
◆「Langflow」にプロンプトインジェクションによるRCE脆弱性 (Security NEXT, 2026/03/02)
https://www.security-next.com/181562
⇒ https://vul.hatenadiary.com/entry/2026/03/30/000000_3
◆「Langflow」の公開フローAPIに深刻なRCE脆弱性 - 悪用も確認 (Security NEXT, 2026/03/26)
https://www.security-next.com/182585
⇒ https://vul.hatenadiary.com/entry/2026/03/26/000000_1
◇2026年5月
◆米当局、「Langflow」や「Apex One」の脆弱性悪用に注意喚起 (Security NEXT, 2026/05/22)
https://www.security-next.com/184829
⇒ https://vul.hatenadiary.com/entry/2026/05/22/000000_1
◆CISA Adds Exploited Langflow and Trend Micro Apex One Vulnerabilities to KEV (The Hacker News, 2026/05/22)
[CISAは、悪用されたLangflowおよびTrend Micro Apex Oneの脆弱性をKEVに追加した]
https://thehackernews.com/2026/05/cisa-adds-exploited-langflow-and-trend.html
⇒ https://vul.hatenadiary.com/entry/2026/05/22/000000_6
◇2026年7月
◆「ColdFusion」や「Langflow」の脆弱性悪用に注意喚起 - 米当局 (Security NEXT, 2026/07/08)
https://www.security-next.com/186957
⇒ https://vul.hatenadiary.com/entry/2026/07/08/000000
◆CISA orders urgent action on actively exploited Langflow RCE flaw (BleepingComputer, 2026/07/22 07:43)
[CISA、現在悪用されているLangflowのRCE脆弱性に対し緊急対策を指示]
https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-actively-exploited-langflow-rce-flaw/
⇒ https://vul.hatenadiary.com/entry/2026/07/22/000000_1
◇2026年8月
◆「Langflow」「Tomcat」など脆弱性3件の悪用に注意喚起 - 米当局 (Security NEXT, 2026/08/05)
https://www.security-next.com/188342
⇒ https://vul.hatenadiary.com/entry/2026/08/05/000000_4
◆「Langflow」に複数の深刻な脆弱性 - 修正版が公開 (Security NEXT, 2026/08/31)
https://www.security-next.com/189600
⇒ https://vul.hatenadiary.com/entry/2026/08/31/000000
【公開情報】
■2025年
◇2025年11月
◆Privilege Escalation via CLI Superuser Creation (Post-RCE) (langflow-ai, 2025/08/25)
https://github.com/langflow-ai/langflow/security/advisories/GHSA-4gv9-mp8m-592r
⇒ https://vul.hatenadiary.com/entry/2025/11/25/000000_1
