if ( !emtpy($headline_subheadline ) ) : ?>
IBM a publié des correctifs pour le cadre de flux de travail d’agent IA low-code populaire et son service de routage des demandes et de backend Hono.
endif; ?>
IBM a corrigé des vulnérabilités critiques dans Langflow, un framework open source pour la création d’agents IA, de flux de travail basés sur LLM et de systèmes de génération augmentée par récupération (RAG). Les failles pourraient permettre aux attaquants de contourner l’authentification, de divulguer les informations d’identification de l’API et d’exécuter du code arbitraire.
Langflow, désormais propriété d’IBM, est populaire dans les environnements d’entreprise car il offre une expérience visuelle qui ne nécessite pas de connaissances en codage pour créer des flux de travail et des agents d’IA. Les vulnérabilités du framework ont déjà été exploitées dans la nature pour voler les informations d’identification de l’IA et des développeurs, le plus récemment en août.
Cette dernière série de correctifs de sécurité corrige quatre vulnérabilités, dont deux sont classées critiques avec un score CVSS de 9,8. Une faille, identifiée comme CVE-2026-93680, provient d’une correction incomplète d’un précédent problème de sécurité de connexion automatique. Son exploitation pourrait permettre aux attaquants de contourner les restrictions de sécurité et d’accéder à des fonctionnalités qui nécessiteraient normalement une authentification.
Une autre faille, CVE-2026-110186, permet à des attaquants distants non authentifiés d’exécuter du code arbitraire via l’énumération de l’outil Model Context Protocol (MCP). Une troisième vulnérabilité, CVE-2026-110193, classée comme étant de gravité élevée, permet également l’exécution de code et de commandes sur le serveur en raison d’un problème dans une bibliothèque tierce utilisée par Agentic Assistant. Cependant, l’exploitation de cette faille nécessite une authentification avec au moins un compte peu privilégié.
La quatrième vulnérabilité, CVE-2026-110192, est un problème de divulgation d’informations dû à des informations d’identification API insuffisamment protégées. Il est noté 6,5 sur l’échelle CVSS.
Les failles affectent les versions 1.0.0 à 1.12.8 de Langflow OSS et ont été corrigées dans la nouvelle version 1.13.0, disponible à la fois dans le référentiel PyPI et sous forme d’image Docker.
« Avant la mise à niveau, sauvegardez la base de données, la clé secrète et les fichiers téléchargés », a déclaré IBM dans son avis. « Si le déploiement utilise la connexion automatique, préparez le compte existant pour la connexion par mot de passe comme décrit dans les instructions d’installation et de mise à niveau de Docker. »
La société a également publié des correctifs pour trois failles de gravité moyenne dans Hono, un cadre de développement d’API et d’applications Web utilisé dans Langflow pour le routage des requêtes et les tâches du serveur Web principal. La société conseille aux utilisateurs de mettre à niveau Hono vers la version 4.13.5.
