情報取得日: 2026/07/17／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-13446 |
|---|---|
| 製品 | IBM / Langflow OSS 1.0.0-1.10.1 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-798 Use of Hard-coded Credentials |
| 登録／公開日 | 2026/07/17 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-13446 |
Langflow OSS の 1.0.0〜1.10.1 に、パスワードや暗号鍵といった認証情報がソースへ直接埋め込まれている問題がある。埋め込まれた認証情報は Langflow 自身への受信認証、外部コンポーネントへの送信通信、内部データの暗号化に使われており、値が既知であれば認証を回避されうる。CVSS v3.1 基本値は 9.8（Critical）で、認証不要（PR:N）で悪用可能とされている点が同時期の他の Langflow の脆弱性と異なる。IBM は 2026-07-14 付でセキュリティ速報を公開し 1.10.2 での修正を案内している。回避策は提供されていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
Langflow OSS を 1.10.2 以降へ更新する。1.10.1 では本件は未修正。ECS/EKS ではイメージを再ビルドして再デプロイする。
更新後に鍵・トークン・パスワードを再発行する。Secrets Manager / Parameter Store 側の値も合わせて更新する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Langflow OSS を 1.10.2 以降へ更新する。1.10.1 では本件は未修正。Cloud Run / GKE ではイメージを再ビルドして再デプロイする。
更新後に Secret Manager 上の関連する鍵・トークンを再発行する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Langflow OSS を 1.10.2 以降へ更新する。1.10.1 では本件は未修正。Container Apps / AKS ではイメージを再ビルドして再デプロイする。
更新後に Key Vault 上の関連するシークレットを再発行する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Langflow OSS を 1.10.2 以降へ更新する（pip/uv またはコンテナイメージ）。1.10.1 では本件は未修正。
主要ディストリの標準リポジトリには含まれないため、アプリ側の更新が必要。更新後に関連する認証情報を再発行する。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
Langflow OSS を 1.10.2 以降へ更新する。注意点として、同時期に公開された CVE-2026-8476 / CVE-2026-8481 の修正版である 1.10.1 は本脆弱性の影響範囲に含まれるため、1.10.1 で止めると本件が残る。1.10.2 以降まで上げること。更新後は、埋め込み値に依存していた可能性のある鍵・トークン・パスワードを再発行し、露出期間中のアクセスログを確認する。
Critical（CVSS 9.8）に分類されるIBM Langflow OSS 1.0.0-1.10.1の脆弱性です。Langflow OSS の 1.0.0〜1.10.1 に、パスワードや暗号鍵といった認証情報がソースへ直接埋め込まれている問題がある。埋め込まれた認証情報は Langflow 自身への受信認証、外部コンポーネントへの送信通信、内部データの暗号化に使われており、値が既知であれば認証を回避されうる。CVSS v3.1 基本値は 9.8（Critical）で、認証不要（PR:N）で悪用可能とされている点が同時期の他の Langflow の脆弱性と異なる。IBM は 2026-07-14 付でセキュリティ速報を公開し 1.10.2 での修正を案内している。回避策は提供されていない。
Langflow OSS を 1.10.2 以降へ更新する。注意点として、同時期に公開された CVE-2026-8476 / CVE-2026-8481 の修正版である 1.10.1 は本脆弱性の影響範囲に含まれるため、1.10.1 で止めると本件が残る。1.10.2 以降まで上げること。更新後は、埋め込み値に依存していた可能性のある鍵・トークン・パスワードを再発行し、露出期間中のアクセスログを確認する。
IBM Langflow OSS 1.0.0-1.10.1 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-13446）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。