CVE-2026-10560: IBM Langflow OSS: falta de autenticação em endpoints de build

Visão geral

A IBM divulgou a CVE-2026-10560, uma falha de falta de autenticação no IBM Langflow OSS. Segundo o registro, a falha afeta endpoints sob /api/v1/build_public_tmp/ e permite que uma parte não autenticada atue sobre jobs de build quando conhece um identificador de job válido. A CNA é a IBM PSIRT e a fraqueza é classificada como CWE-287 (Autenticação Inadequada).

Impacto

O registro indica que a falha pode ser usada para ler dados de eventos de build e para cancelar jobs, o que corresponde a divulgação de informações e negação de serviço. O vetor do NVD, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H, indica alcance pela rede, baixa complexidade de ataque, nenhum privilégio ou interação do usuário exigidos, e alto impacto em confidencialidade e disponibilidade, sem impacto em integridade.

Produtos e versões afetadas

Produto: Langflow Langflow (IBM Langflow OSS)
Faixa listada: de 1.0.0 até 1.9.6, inclusive
Versão corrigida: não consta no registro. Consulte o boletim de suporte da IBM para detalhes de remediação.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA nos dados fornecidos, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00484, com percentil de 0.3997, o que estima a chance de atividade de exploração, mas não a confirma.

Correção e mitigação

Inventarie todas as implantações do Langflow OSS e verifique se alguma executa versão dentro da faixa 1.0.0 a 1.9.6.
Siga as orientações do boletim de suporte da IBM e aplique a correção fornecida pelo fabricante para a sua versão, após confirmá-la.
Até a conclusão da correção, restrinja a exposição de rede das instâncias do Langflow, limite o acesso aos endpoints de build a redes confiáveis e adicione controles de autenticação na frente do serviço, quando viável.
Trate os identificadores de job como informação sensível e evite compartilhá-los além de quem precisa deles.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições a endpoints públicos de build, principalmente de origens desconhecidas.
Procure cancelamentos de jobs inesperados ou mudanças de estado de build que não tenham sido iniciadas por usuários autorizados.
Correlacione acessos incomuns a dados de build com a janela de exposição de cada instância afetada.

Limitações das informações disponíveis

O registro não inclui versão corrigida, detalhes de correção nem telemetria de exploração além do status no KEV e do EPSS. O motivo da diferença entre a pontuação do NVD (9.1) e a da IBM (8.2) não é informado. Os dados expostos são descritos apenas como dados de eventos de build, portanto o escopo exato da divulgação é desconhecido.

Perguntas frequentes

O que é a CVE-2026-10560?

É uma falha de falta de autenticação no IBM Langflow OSS nas versões 1.0.0 até 1.9.6, que afeta endpoints sob /api/v1/build_public_tmp/. Segundo o registro, pode expor dados de eventos de build e permitir o cancelamento de jobs.

Esta vulnerabilidade está sendo explorada na prática?

A CVE não consta no catálogo KEV da CISA nos dados fornecidos, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Inventariar as implantações afetadas do Langflow OSS, seguir o boletim de suporte da IBM para a correção do fabricante e restringir a exposição de rede e o acesso aos endpoints de build até a aplicação da correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.