CVE-2026-55255 : Langflow IDOR IA exploité CISA KEV

Les faits

CVE-2026-55255 est une vulnérabilité de type Insecure Direct Object Reference (IDOR) classifiée CWE-639 (Authorization Bypass Through User-Controlled Key) affectant Langflow, un framework open-source populaire pour la construction et le déploiement de workflows basés sur des agents IA. La faille a été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA le 7 juillet 2026, faisant de Langflow le premier framework d'agents IA à figurer sur la liste des vulnérabilités activement exploitées imposant une correction obligatoire pour les agences fédérales américaines.

Le score CVSS v3.1 est de 9.9 (Critical), reflétant un impact potentiel extrême : prise de contrôle des workflows IA d'autres utilisateurs, extraction de credentials, et accès à des systèmes tiers intégrés. La vulnérabilité affecte toutes les versions de Langflow antérieures à 1.9.2 et a été corrigée via la pull request PR-12832 dans Langflow 1.9.2.

Techniquement, la faille réside dans la fonction get_flow_by_id_or_endpoint_name() dans le fichier helpers/flow.py. Lorsqu'un flow est résolu par son UUID, la requête vers la base de données ne comporte aucune vérification du champ user_id (propriétaire du flow). En conséquence, tout utilisateur authentifié peut exécuter n'importe quel flow appartenant à un autre utilisateur en fournissant simplement l'UUID de ce flow dans le paramètre model d'une requête POST vers l'endpoint /api/v1/responses.

La technique d'exploitation documentée par Sysdig Threat Research Team (TRT) se déroule en deux phases. La première est la reconnaissance : l'attaquant appelle GET /api/v1/flows/ pour énumérer tous les flows visibles et récupérer leurs UUID. La seconde est l'exploitation : l'attaquant rejoue ces UUID comme paramètre model dans des requêtes POST à /api/v1/responses avec des inputs conçus pour extraire des informations sensibles. Le payload documenté "input": "leak api keys" permet d'obtenir les clés API et credentials stockés dans les flows victimes directement via le moteur LLM sous-jacent.

Sysdig TRT a documenté une exploitation en conditions réelles le 25 juin 2026, impliquant l'adresse IP 45.207.216.55. L'attaquant a mené une séquence structurée : reconnaissance via les endpoints d'authentification de Langflow, énumération des flows via l'API, exploitation de CVE-2026-55255 pour le vol de credentials, puis enchaînement avec CVE-2026-33017 (vulnérabilité RCE distincte dans Langflow) pour obtenir une exécution de code à distance et déployer un implant de seconde étape de type loader/dropper. L'objectif principal est le vol d'actifs de valeur stockés dans les workflows IA.

L'impact de CVE-2026-55255 est particulièrement préoccupant dans le contexte des architectures IA actuelles. Les workflows Langflow embarquent systématiquement des clés API vers des fournisseurs LLM (OpenAI, Anthropic, Google, Mistral), des credentials vers des bases de données et services cloud (AWS, Azure, GCP), des connexions à des systèmes d'entreprise (CRM, ERP, outils RH), et des accès à des dépôts de documents et données sensibles. Un attaquant exploitant CVE-2026-55255 accède non seulement au workflow mais à tout l'écosystème d'intégrations qu'il encapsule.

La CISA a ordonné aux agences civiles fédérales américaines de corriger CVE-2026-55255 avant le 10 juillet 2026 en vertu de la Binding Operational Directive (BOD) 26-04. La nature critique de cette directive dans un délai de 3 jours après l'ajout au KEV témoigne de la gravité de l'exploitation observée. Il est également notable que CVE-2026-55255 soit la première vulnérabilité dans un framework d'agents IA à atteindre ce niveau d'urgence réglementaire, signalant la maturité croissante des menaces ciblant l'infrastructure IA.

L'analyse de Sysdig souligne un aspect contre-intuitif : malgré son score CVSS de 9.9, CVE-2026-55255 est utilisée comme vecteur secondaire dans les chaînes d'attaque observées. La vulnérabilité CVE-2026-33017 (RCE non authentifié, corrigée dans Langflow 1.4.0) précède CVE-2026-55255 dans ces chaînes. Les attaquants utilisent d'abord CVE-2026-33017 pour l'accès initial, puis CVE-2026-55255 pour le vol horizontal des credentials des autres utilisateurs sur la même instance. Les déploiements Langflow multi-utilisateurs sont donc particulièrement exposés à des compromissions croisées.

Impact et exposition

Tous les déploiements de Langflow antérieurs à la version 1.9.2 avec plusieurs utilisateurs sont exposés. Un attaquant disposant d'un simple compte utilisateur (même non-administrateur) peut accéder aux flows et credentials de tous les autres utilisateurs de la même instance. Les instances exposées sur Internet sans authentification robuste sont particulièrement vulnérables, d'autant que de nombreux déploiements de test ou de développement omettent les protections d'authentification.

La surface d'exposition est difficile à quantifier précisément : Langflow est principalement déployé on-premises ou sur des instances cloud privées, avec une forte adoption dans les équipes de data science et d'IA. Les instances exposées sur Internet (identifiées via Shodan sur les ports par défaut 7860 et 3000) représentent la cible prioritaire des attaquants automatisés, mais les instances internes accessibles via VPN sont également à risque en cas de compromission d'un compte utilisateur légitime.

Les organisations utilisant Langflow avec des workflows intégrant des systèmes critiques (bases de données de production, accès cloud avec permissions étendues, intégrations CRM) doivent traiter cette vulnérabilité comme une urgence absolue. La compromission d'un workflow Langflow peut conduire à des violations de données massives si le workflow avait accès à des bases de données clients ou des systèmes métier sensibles. Des attaquants ayant dérobé des clés LLM peuvent générer des coûts d'API considérables sur les comptes des victimes.

Recommandations immédiates

• Mettre à jour Langflow vers la version 1.9.2 ou supérieure — corrige CVE-2026-55255 via ajout d'une vérification de propriété sur /api/v1/responses
• Révoquer et régénérer toutes les clés API et credentials stockés dans les flows Langflow — considérez-les compromis si instance non patchée
• Analyser les journaux d'accès à /api/v1/responses et /api/v1/flows/ pour des accès inter-utilisateurs suspects depuis le 25 juin 2026
• Si la mise à jour immédiate est impossible, restreindre l'accès à l'instance Langflow aux seules IP de confiance via pare-feu
• Désactiver l'accès public aux instances Langflow non protégées par authentification forte (MFA)
• Vérifier également CVE-2026-33017 (patch : version 1.4.0 minimum) — souvent chaînée avec CVE-2026-55255 dans les attaques documentées