מספיק שמשתמש מחובר ל-Langflow ייכנס לדף אינטרנט זדוני, ובזה נגמר הסיפור. הדף מבקש מהדפדפן שלו לפנות אל שרת ה-Langflow, מקבל בחזרה את פרטי ההתחברות שלו, ומשם מריץ קוד על השרת. החולשה נוגעת לכל הגרסאות עד 1.6.9 כולל, קיבלה ציון 9.4, ומאז ה-21 במאי 2026 היא ברשימת החולשות שידוע שמנוצלות בפועל.
מה החולשה?
הדפדפן שלכם מפעיל כלל יסוד: דף מאתר אחד אינו יכול לקרוא תשובות מאתר אחר. בלי הכלל הזה, כל אתר שהייתם פותחים היה יכול לקרוא את תיבת הדואר שלכם ברקע. המנגנון שמאפשר לשרת להתיר חריגה מהכלל, במכוון, נקרא CORS, והוא בעצם רשימה של אתרים שמורשים לפנות אליו.
ב-Langflow ההגדרה הזאת הייתה פתוחה לרווחה בשתי דרכים שמסוכנות דווקא בשילוב. הראשונה: רשימת המקורות המורשים הוגדרה ככוכבית, כלומר כל אתר בעולם. השנייה: לצדה הופעלה גם ההרשאה לצרף פרטי הזדהות לבקשות האלה. כל אחת מהן לבדה מקובלת בהקשרים מסוימים. יחד הן אומרות שכל דף באינטרנט רשאי לפנות אל השרת בשמכם, ולקרוא את התשובה.
הרכיב השלישי הוא ה-cookie שמחזיק את ה-refresh token, זה שתפקידו להנפיק מפתח גישה חדש כשהישן פג. הוא הוגדר עם SameSite=None, הגדרה שאומרת לדפדפן לצרף אותו גם לבקשות שמגיעות מאתרים אחרים.
עכשיו הכול מתחבר. דף זדוני שאתם פותחים פונה אל ה-endpoint של Langflow שמחדש את ההרשאות. הדפדפן שלכם מצרף את ה-cookie כי כך הוגדר לו, השרת מנפיק זוג token-ים טריים, וה-CORS הפתוח מאפשר לדף לקרוא אותם. מכאן התוקף מחזיק את הזהות שלכם, וב-Langflow זה שווה יותר מגישה למידע: למערכת יש יכולת מובנית להריץ קוד, וכל מי שמזוהה יכול להשתמש בה. לכשל הזה, שבו המערכת אינה בודקת כראוי מאיפה הבקשה הגיעה, קוראים בדיקה לקויה של מקור הבקשה.
הווקטור מסמן שנדרשת פעולה כלשהי מצד המשתמש. הפעולה הזאת היא לפתוח קישור.
מי מושפע?
מושפעות כל גרסאות Langflow עד 1.6.9 כולל.
Langflow היא פלטפורמה לבניית זרימות עבודה וסוכנים מבוססי בינה מלאכותית, ובישראל היא נמצאת אצל צוותי פיתוח, סטארטאפים וחוקרים. החשיפה המסוכנת ביותר כאן אינה דווקא מופע ציבורי. שימו לב לתנאי: מספיק שמשתמש מחובר יפתח קישור. זה עובד גם כשהשרת יושב ברשת פנימית, כי מי שפונה אליו בפועל הוא הדפדפן של העובד, שנמצא ברשת הזאת ממילא.
זאת נקודה ששווה לעצור עליה. פריסה שנחשבת מוגנת משום שאינה חשופה לאינטרנט אינה מוגנת מפני החולשה הזאת.
האם מנוצלת בפועל?
כן. ב-21 במאי 2026 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון לגופים הפדרליים ב-4 ביוני.
הפער כאן גדול במיוחד: הרשומה פורסמה בדצמבר 2025, והכניסה לקטלוג היא ממאי 2026. חמישה חודשים שבהם התיקון היה זמין. את הניתוח הטכני המקורי פרסמה חברת Obsidian Security, ותיאורים נוספים פרסמו VulnCheck ו-CrowdSec. שלושתם מקושרים במידע הטכני למטה.
מה עושים?
עדכנו את Langflow לגרסה חדשה מ-1.6.9. הרשומה מגדירה את כל מה שעד 1.6.9 ועד בכלל כמושפע, כך שכל גרסה מעליה היא היעד.
בדקו איזו גרסה רצה אצלכם בפועל, ולא איזו גרסה התקנתם פעם. מופעים של כלי פיתוח נוטים להישאר באוויר הרבה אחרי שמי שהרים אותם עבר הלאה.
עד שתעדכנו, הוציאו מהחשבון את המשתמשים המחוברים. התקיפה מסתמכת על session פעיל של משתמש מחובר, ולכן ניתוק כולם מבטל את מה שהתוקף יכול לגנוב באותו רגע. זה לא פותר את הבעיה, וזה מקצר את חלון החשיפה.
ואם המופע שלכם היה זמין ומשתמשים עבדו בו, התייחסו אליו כאל מופע שהיה בידיים של מישהו אחר. היכולת המובנית להריץ קוד היא בדיוק מה שהתוקף מקבל בסוף השרשרת, כך שהשאלה אינה מה נחשף אלא מה הורץ.