Zbyt luźne ustawienia CORS i ciasteczek w Langflow do 1.6.9 pozwalają obcej stronie przejąć sesję zalogowanego pracownika i uruchomić kod na serwerze. CISA potwierdza ataki. Zaktualizuj do 1.7.0 lub nowszej i wymień klucze API.
Ten alert jest dla zarządu, CTO i CFO firm, w których ktoś uruchomił Langflow, narzędzie do budowania przepływów pracy z modelami językowymi (AI). Werdykt: jeśli macie Langflow w wersji 1.6.9 lub starszej, zaktualizujcie go dziś i ustawcie bezpieczną konfigurację CORS oraz ciasteczek, bo luka jest wykorzystywana w prawdziwych atakach.
Amerykańska agencja CISA 21 maja 2026 roku dopisała podatność CVE-2025-34291 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w atakach. Błąd dotyczy Langflow, popularnej platformy open source do budowania agentów i przepływów AI metodą „przeciągnij i upuść”.
Luka nie jest pojedynczym błędem, tylko łańcuchem trzech ustawień. Zbyt luźna reguła CORS, ciasteczko sesji dołączane do zapytań z obcych stron i wbudowana funkcja uruchamiania kodu razem sprawiają, że wystarczy, by zalogowany pracownik otworzył w przeglądarce stronę napastnika. Napastnik przejmuje wtedy sesję pracownika i może uruchomić własny kod na serwerze firmy.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 4 czerwca 2026 roku, ponad trzy miesiące temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-34291 |
Data dodania do CISA KEV | 2026-05-21 |
Termin naprawy wg CISA | 2026-06-04 |
Produkt | Langflow (projekt open source langflow-ai, rozwijany przez DataStax, obecnie w portfelu IBM) |
Wersje zagrożone | Langflow do 1.6.9 włącznie. W wersjach 1.6.x ryzyko zależy od konfiguracji: domyślne ustawienia były podatne, a zmienne środowiskowe CORS dodane w 1.6.0 pozwalały je ręcznie utwardzić |
Wersje bezpieczne | 1.7.0 i nowsze (pierwsza wersja z poprawką wg GitHub Security Advisory GHSA-577h-p2hh-v4mv). CISA w przypisie wskazuje wydanie 1.9.3. Najnowsze wydanie na dziś: 1.12.2 (16 września 2026). Producent zaleca dodatkowo jawne ustawienie dozwolonych adresów CORS i atrybutu SameSite, bo domyślna wartość SameSite ciasteczka odświeżania nadal wynosi „none” |
Typ podatności | Błąd weryfikacji pochodzenia prowadzący do przejęcia konta i wykonania kodu; CWE-346 (Origin Validation Error) |
Ocena CVSS | NVD: 8.8 (CVSS 3.1, WYSOKA, wymaga minimalnych uprawnień, bez udziału użytkownika). VulnCheck: 9.4 (CVSS 4.0, KRYTYCZNA, bez uprawnień, ale z udziałem użytkownika) |
Wyobraź sobie kuriera, który ma przy sobie klucze do biura i wchodzi do środka z każdą przesyłką, bo tak jest wygodniej. Zasada w firmie brzmi: kurier wnosi paczki tylko od zaufanych nadawców. W Langflow tę zasadę zapisano jako „wszyscy nadawcy są zaufani”, a do tego kurier pokazuje klucze każdemu, kto o nie poprosi. Wystarczy, że obcy nadawca wręczy mu list z prośbą „dorób mi kopię klucza i odeślij”, a kurier to zrobi.
Kurierem jest tu przeglądarka pracownika. Kluczem jest ciasteczko z tokenem odświeżania sesji. Obca strona otwarta w drugiej karcie prosi Langflow o nowy token, przeglądarka sama dokłada ciasteczko, a serwer oddaje świeży komplet tokenów i pozwala obcej stronie go odczytać. Z takim tokenem napastnik korzysta z funkcji, którą Langflow ma z założenia: uruchamiania kodu Python na serwerze.
💡 CORS (Cross-Origin Resource Sharing) to reguła mówiąca przeglądarce, które obce strony mogą wysyłać zapytania do danej aplikacji i odczytywać odpowiedzi. SameSite to atrybut ciasteczka decydujący, czy przeglądarka dołączy je do zapytania wysłanego z cudzej strony. Token odświeżania to długotrwały „bilet”, za który aplikacja wydaje nowe przepustki sesji bez pytania o hasło. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link z wiadomości w drugiej karcie | Obca strona nie ma dostępu do jego sesji w Langflow | Obca strona po cichu pobiera nowy token sesji pracownika |
Pracownik się wylogowuje | Sesja jest zakończona | Napastnik ma już własną, ważną parę tokenów |
Logowanie wieloskładnikowe (MFA) | Chroni przed skradzionym hasłem | Nie pomaga, bo hasło nie jest potrzebne |
Funkcja uruchamiania kodu w przepływach | Dostępna tylko dla zalogowanych członków zespołu | Dostępna dla napastnika z przejętym tokenem |
Klucze API zapisane w przepływach | Widzi je tylko zespół | Napastnik może je odczytać i użyć w innych usługach |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od „każdego z internetu”: potrzebny jest pracownik zalogowany do Langflow, który w tej samej przeglądarce otworzy stronę napastnika. Sama instancja Langflow nie musi być wystawiona do internetu, jeśli przeglądarka pracownika ma do niej dostęp.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Postawienie strony z ukrytym skryptem i wysłanie linku do osób, które mogą używać Langflow (np. programistów, analityków danych) | Przynęta w skrzynkach i komunikatorach |
2. Kliknięcie | T+kilka godzin do kilku dni | Zalogowany pracownik otwiera link w drugiej karcie | Skrypt wysyła zapytanie do adresu odświeżania sesji Langflow |
3. Kradzież sesji | T+sekundy od kliknięcia | Przeglądarka dokłada ciasteczko, serwer zwraca nową parę tokenów, obca strona je odczytuje | Napastnik ma ważną sesję pracownika |
4. Wykonanie kodu | T+minuty | Wywołanie wbudowanej funkcji uruchamiania kodu Python | Własny kod napastnika działa na serwerze |
5. Kradzież kluczy | T+godziny | Odczyt kluczy API do modeli językowych, baz danych, poczty i usług chmurowych zapisanych w przepływach | Dostęp do systemów podłączonych do Langflow |
6. Dalsza ekspansja | T+dni | Rozpoznanie sieci wewnętrznej z przejętego serwera, utrwalenie dostępu | Włamanie wykracza poza samo narzędzie AI |
Mogę Ci jakoś pomóc?
Narzędzia do budowania przepływów AI z definicji łączą się z wieloma systemami, więc gromadzą klucze do nich w jednym miejscu. Przejęcie takiego narzędzia to nie tylko jeden serwer, ale potencjalnie wszystkie usługi, do których ma poświadczenia. Dodatkowy problem: takie narzędzia często nie trafiają do rejestru systemów firmy, bo instaluje je pojedynczy zespół.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub przebudowa przepływów AI, wymiana wszystkich kluczy API, odtworzenie serwera | Dni | 20 tys. do 150 tys. PLN (praca zespołu, przestój procesów opartych na AI) |
Bezpieczeństwo danych | Wyciek dokumentów wgranych do analizy, kluczy do poczty, baz danych i chmury | Godziny od kliknięcia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Rachunki za nadużyte klucze API do modeli językowych i usług chmurowych, koszty zewnętrznych specjalistów | Dni | 10 tys. do 300 tys. PLN |
Reputacyjny | Utrata zaufania klientów, których dane trafiły do narzędzia AI | Tygodnie do miesięcy | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Langflow 1.6.9 lub starszym
i domyślną konfiguracją CORS
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: skutek techniczny to pełne przejęcie serwera i kluczy, a CISA oraz CrowdSec potwierdzają ataki, dlatego ryzyko jest wysokie; nie jest maksymalne, bo atak wymaga zalogowanego pracownika i jego kliknięcia, a firma bez Langflow lub z wersją 1.7.0 i jawnie ustawionym CORS jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie (także na laptopach, serwerach testowych i w chmurze) działa Langflow i w jakiej wersji | Dziś | CTO / kierownik IT |
2 | 🔴 NATYCHMIAST | Zaktualizować Langflow co najmniej do 1.7.0, a najlepiej do najnowszego wydania stabilnego | Dziś | Właściciel narzędzia / administrator |
3 | 🔴 NATYCHMIAST | Ustawić jawnie LANGFLOW_CORS_ORIGINS na własne adresy i LANGFLOW_REFRESH_SAME_SITE na lax lub strict (zalecenie producenta) | Dziś | Administrator |
4 | 🟠 PILNIE | Wymienić wszystkie klucze API i hasła zapisane w przepływach Langflow, jeśli wersja była podatna | Do 3 dni | Właściciel narzędzia |
5 | 🟠 PILNIE | Przejrzeć logi Langflow i serwera pod kątem nieznanych sesji, wywołań funkcji uruchamiania kodu i nowych procesów | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do Langflow do sieci firmowej lub VPN i odseparować serwer od reszty sieci | Do 14 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Dopisać narzędzia AI do rejestru systemów firmy z właścicielem, wersją i listą kluczy, do których mają dostęp | Do 30 dni | CTO |
Producent wydał poprawkę (1.7.0 i nowsze), więc docelowo trzeba zaktualizować. Do czasu aktualizacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Jawne ustawienie LANGFLOW_CORS_ORIGINS na konkretne adresy (dostępne od 1.6.0) | Wysoka: obca strona nie odczyta odpowiedzi z tokenami | Łatwa: zmiana zmiennej środowiskowej i restart |
LANGFLOW_REFRESH_SAME_SITE=lax lub strict (lub LANGFLOW_CORS_ALLOW_CREDENTIALS=false przy dowolnych adresach) | Wysoka: przeglądarka nie dołączy ciasteczka do zapytań z obcej strony | Łatwa, ale przy panelu i serwerze na różnych domenach wymaga sprawdzenia działania |
Dostęp do Langflow tylko z sieci firmowej lub VPN | Średnia: nie chroni przed atakiem przez przeglądarkę pracownika w sieci firmowej | Średnia |
Osobna przeglądarka lub profil przeglądarki tylko do Langflow | Średnia: obca strona nie działa w tym samym profilu | Łatwa, ale zależy od dyscypliny użytkowników |
Wyłączenie instancji do czasu aktualizacji | Wysoka | Łatwa, kosztem wstrzymania przepływów AI |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Sesja pracownika | Może ją przejąć dowolna strona otwarta w przeglądarce | Obca strona nie dostaje tokenów |
Uruchamianie kodu na serwerze | Dostępne dla napastnika po jednym kliknięciu pracownika | Dostępne tylko dla uprawnionych użytkowników |
Klucze API w przepływach | Potencjalnie znane napastnikowi | Wymienione, stare unieważnione |
Wiedza o narzędziu | Nikt poza jednym zespołem nie wie, że działa | Wpisane do rejestru z właścicielem i wersją |
Zgodność z terminem CISA | Zaległość od 4 czerwca 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CrowdSec raportował aktywne wykorzystanie od 23 stycznia 2026 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. CrowdSec ocenia, że kampania jest prowadzona „na profesjonalną skalę”, ale nie podaje sprawców |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 9.4 KRYTYCZNA wg VulnCheck (CVSS 4.0) |
PoC dostępny publicznie? | Szczegółowy opis techniczny łańcucha ataku opublikowała firma Obsidian Security (NVD oznacza tę publikację jako zawierającą exploit) |
Liczba atakowanych firm | Brak publicznych informacji; CrowdSec zaznacza, że ze względu na mechanizm ataku nie może potwierdzić skali |
Kto wykrył błąd | Badacze Obsidian Security (Fenix Qiao, Shuyang Wang) |
Prognoza EPSS | 0,84, czyli wysokie prawdopodobieństwo prób wykorzystania w ciągu miesiąca (wg analizy źródłowej) |
Obie oceny CVSS opisują inne warunki wejścia: NVD zakłada minimalne uprawnienia napastnika bez udziału ofiary, a VulnCheck brak uprawnień, ale konieczne kliknięcie ofiary. W praktyce oceniaj ryzyko po wariancie łatwiejszym do spełnienia w Twojej firmie.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-34291
CVSS 3.1 (NVD) 8.8/10 █████████████████░░░ WYSOKA
CVSS 4.0 (VulnCheck) 9.4/10 ███████████████████░ KRYTYCZNA
EPSS 0,84 █████████████████░░░ WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-07-29 Obsidian Security zgłasza lukę zespołowi Langflow
2025-09-25 Langflow 1.6.0: zmienne do ręcznej konfiguracji CORS,
domyślne ustawienia nadal podatne
2025-10-23 Nadanie numeru CVE-2025-34291 (VulnCheck)
2025-12-05 Publikacja CVE i raportu Obsidian Security
2025-12-18 Wydanie Langflow 1.7.0 z poprawką
2026-01-23 CrowdSec obserwuje pierwsze ataki
2026-05-15 Wydanie Langflow 1.9.3 (wskazane w przypisie CISA)
2026-05-21 CISA dodaje lukę do katalogu KEV
2026-06-04 Termin naprawy wg CISA dla agencji federalnych
2026-06-23 Zespół Langflow potwierdza: poprawka w 1.7.0
2026-09-16 Najnowsze wydanie Langflow 1.12.2
2026-09-17: TUTAJ JESTEŚMY Wydania Langflow z poprawkami: github.com/langflow-ai/langflow/releases/tag/v1.9.3 . Zgłoszenie z potwierdzeniem poprawki i zaleceniami konfiguracji: github.com/langflow-ai/langflow/issues/11465 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-34291 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać wszystkie zespoły (IT, programistów, analityków, marketing), czy używają Langflow lub podobnych narzędzi AI | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: gdzie działa Langflow, w jakiej wersji i kto jest właścicielem | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub wyłączenie podatnych instancji | CTO | DZISIAJ |
4 | Zlecić wymianę kluczy API zapisanych w Langflow | CTO | DO JUTRA |
5 | Sprawdzić rachunki za usługi modeli językowych i chmury pod kątem nietypowego wzrostu | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd logów wykaże podejrzane sesje | CFO | DO JUTRA |
7 | Ustalić zasadę: żadne narzędzie AI z dostępem do danych firmy nie działa bez wpisu do rejestru | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie działa Langflow (serwer, kontener, laptop, chmura)? | TAK / NIE | 🔴 |
2 | Jaka jest dokładna wersja każdej instancji Langflow? | [wersja] | 🔴 |
3 | Czy zmienne LANGFLOW_CORS_ORIGINS i LANGFLOW_REFRESH_SAME_SITE są ustawione jawnie? | TAK / NIE | 🔴 |
4 | Kiedy zaktualizowano Langflow do wersji 1.7.0 lub nowszej? | [data] | 🟠 |
5 | Czy klucze API zapisane w przepływach zostały wymienione po aktualizacji? | TAK / NIE, [data] | 🟠 |
6 | Czy Langflow jest osiągalny z internetu, czy tylko z sieci firmowej lub VPN? | [internet / sieć firmowa / VPN] | 🟠 |
7 | Do jakich systemów (poczta, bazy, chmura, dokumenty) Langflow ma dostęp? | [lista systemów] | 🟡 |
CVE-2025-34291 pozwala przejąć sesję pracownika zalogowanego do Langflow i uruchomić kod na serwerze, gdy ten tylko otworzy stronę napastnika. CISA i CrowdSec potwierdzają ataki, poprawka jest dostępna od wersji 1.7.0, a termin CISA minął 4 czerwca 2026 roku, więc inwentaryzacja, aktualizacja i wymiana kluczy to zadania na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.