CVE-2026-7874: IBM Langflow OSS: derivação de chave fraca e reversível expõe credenciais armazenadas

Visão geral

A IBM publicou um aviso de fornecedor relacionado à CVE-2026-7874 no Langflow OSS. O registro descreve um mecanismo de derivação de chave fraco e reversível usado na criptografia em repouso, que poderia permitir a divulgação de todas as credenciais armazenadas. O aviso do fornecedor aparece no registro como página de suporte IBM 7278447.

Impacto

Segundo o registro, todas as credenciais armazenadas podem ser divulgadas.
O vetor CVSS 3.1 informado é acessível pela rede, de baixa complexidade, sem necessidade de privilégios e sem interação do usuário, com alto impacto de confidencialidade e integridade e sem impacto de disponibilidade.
Inferência: como a fraqueza afeta a proteção de segredos armazenados, as credenciais mantidas por instâncias afetadas devem ser tratadas como expostas até que a orientação do fornecedor seja analisada. O impacto completo sobre sistemas conectados é desconhecido.

Produtos e versões afetadas

Produto indicado como Langflow Langflow (IBM Langflow OSS).
Faixa afetada indicada da versão 1.0.0 até a 1.10.0, inclusive.
O registro não informa versão corrigida. Isso não significa que não exista correção; consulte o aviso da IBM para os detalhes de remediação.

Status de exploração

O registro indica que a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA.
Não há exploração confirmada nas fontes consultadas.
A estimativa EPSS presente no registro (probabilidade de 0,00275, percentil de 0,18455, data de 2026-10-13) é uma estimativa estatística de probabilidade de exploração, não uma evidência de ataques.

Remediação e mitigação

Faça o inventário das implantações do Langflow OSS e verifique quais estão dentro da faixa afetada.
Acompanhe o aviso da IBM para identificar uma versão corrigida e aplique a orientação do fornecedor assim que estiver disponível.
Inferência: trate as credenciais armazenadas por instâncias afetadas como potencialmente expostas. Rotacione chaves de API, senhas de banco de dados, tokens e segredos de terceiros, de preferência após a aplicação da correção, priorizando as credenciais de maior valor.
Restrinja a exposição de rede das instâncias do Langflow e limite o acesso às interfaces administrativas e ao armazenamento de dados criptografados e de backups.
Sempre que possível, mova os segredos do armazenamento da aplicação para um gerenciador de segredos dedicado, o que reduz o alcance de fraquezas semelhantes.

Orientações de detecção

Revise os logs de acesso em busca de leituras incomuns do armazenamento de dados, dos arquivos de configuração ou dos backups do Langflow.
Observe o uso inesperado de credenciais armazenadas no Langflow, como autenticações de origens desconhecidas ou chamadas de serviço fora do padrão habitual.
Mantenha um inventário atualizado das instâncias e de suas versões para avaliar a exposição rapidamente.

Limitações das informações disponíveis

O registro não traz detalhes técnicos da fraqueza na derivação de chave, e o nome do CWE está ausente (apenas o identificador CWE-338 é informado).
Não há versão corrigida informada, nem descrição de patches, contramedidas ou cronograma.
Os dados de CVSS vêm da entrada do PSIRT da IBM no registro; não houve confirmação independente nas fontes consultadas.
O registro não tem título, por isso o título desta análise foi derivado da descrição.

Perguntas frequentes

Quais versões do Langflow OSS são afetadas pela CVE-2026-7874?

O registro indica o IBM Langflow OSS da versão 1.0.0 até a 1.10.0 como afetado. Consulte o aviso da IBM para orientações atualizadas sobre versões corrigidas.

A CVE-2026-7874 é conhecida por ser explorada ativamente?

O registro indica que a CVE não consta no KEV da CISA e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.