CVE-2026-55255 : Langflow IDOR CVSS 9.9 vol clés IA KEV

Les faits

CVE-2026-55255 est une vulnérabilité d'autorisation critique (CWE-639 : Authorization Bypass Through User-Controlled Key) dans Langflow, la plateforme open-source de création et d'orchestration de workflows d'intelligence artificielle. Avec un score CVSS de 9.9, cette faille permet à un utilisateur authentifié malveillant de franchir les frontières du périmètre locataire (cross-tenant) et d'exécuter des workflows AI appartenant à d'autres utilisateurs de la même instance, accédant ainsi à leurs ressources, données et secrets configurés.

La faille a été ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 7 juillet 2026, avec une date limite de remédiation fixée au 10 juillet 2026 pour les agences fédérales américaines — l'une des fenêtres de remédiation les plus courtes jamais imposées par la CISA (3 jours seulement), signe de la gravité immédiate et du risque d'exploitation à grande échelle. Qualys ThreatPROTECT a publié une analyse détaillée le 10 juillet 2026, et Threat Frontier Labs a documenté la faille le même jour dans leur rapport de recherche CVE-2026-55255.

Techniquement, la vulnérabilité réside dans l'endpoint /api/v1/responses de l'API REST Langflow. Cet endpoint accepte un paramètre flow_id dans le corps de la requête pour identifier quel workflow exécuter. Le serveur ne vérifie pas si l'utilisateur authentifié qui envoie la requête est bien le propriétaire du flow_id fourni — c'est une erreur classique de contrôle d'accès au niveau objet (BOLA — Broken Object Level Authorization — également désigné IDOR). En spécifiant l'identifiant d'un workflow appartenant à une autre victime (les identifiants de flows sont énumérables via l'API de liste publique de l'instance), un attaquant peut déclencher l'exécution de ce workflow dans son propre contexte d'authentification.

L'impact va bien au-delà de la simple exécution non autorisée de workflows. Chaque flow Langflow peut contenir des clés API configurées comme variables de connexion aux fournisseurs LLM (OpenAI, Anthropic, Cohere, Google Gemini, Mistral, etc.) et aux services cloud (AWS, GCP, Azure). En exécutant un workflow appartenant à une autre organisation ou un autre utilisateur, l'attaquant peut extraire ces secrets via des composants d'exfiltration intégrés au workflow, modifier dynamiquement les instructions du flow pour rediriger les appels API, ou simplement surveiller les logs d'exécution pour récupérer les tokens transmis en clair.

Un incident d'exploitation documenté par une entreprise de sécurité cloud (référencé dans le rapport Threat Frontier Labs du 10 juillet 2026) et survenu le 25 juin 2026 illustre la gravité concrète : un attaquant a accédé à une instance Langflow exposée sur Internet, effectué de la reconnaissance et une énumération des flows disponibles, exploité CVE-2026-55255 pour exécuter les workflows d'autres utilisateurs, puis enchaîné avec une seconde vulnérabilité RCE pour établir des connexions sortantes persistantes. L'opération complète a permis le vol de clés LLM (OpenAI et Anthropic) et de credentials AWS depuis les variables d'environnement des flows victimes.

Langflow est particulièrement populaire dans les équipes de développement IA pour prototyper des agents autonomes, des pipelines RAG (Retrieval-Augmented Generation), des chatbots et des workflows multi-modèles. Les déploiements multi-tenant — plusieurs utilisateurs ou équipes partageant une même instance Langflow — sont directement et pleinement concernés par cette faille. Ce modèle de déploiement est courant dans les startups IA, les équipes R&D, les incubateurs technologiques et les plateformes d'expérimentation IA partagées.

La faille affecte toutes les versions de Langflow antérieures à 1.9.1. La version corrigée 1.9.1, publiée par DataStax (maintenant propriétaire du projet Langflow), introduit une vérification stricte de la propriété du flow_id avant toute exécution via l'endpoint /api/v1/responses. Le correctif est disponible via pip (pip install langflow==1.9.1), via le conteneur Docker officiel mis à jour, ou via le dépôt GitHub officiel du projet.

Selon l'analyse publiée par threat-modeling.com le 10 juillet 2026, CVE-2026-55255 est décrite comme un cas de « cross-tenant insecure direct object reference » particulièrement dangereux dans le contexte des plateformes IA partagées, où les secrets LLM et cloud représentent une valeur économique directe pour les attaquants. La monétisation rapide des clés API volées (revendues sur des marchés clandestins ou utilisées pour générer massivement du contenu à des fins frauduleuses) explique l'attractivité de ce type d'exploitation.

Impact et exposition

Toute instance Langflow antérieure à 1.9.1 accessible par plusieurs utilisateurs est exposée. L'attaquant doit disposer d'un compte sur l'instance cible — dans de nombreux déploiements Langflow, les comptes sont partagés librement au sein des équipes de développement, ce qui signifie que la barrière d'entrée est très faible. L'exposition est maximale dans les configurations multi-tenant où plusieurs équipes ou projets partagent une instance commune avec des connexions à des services LLM et cloud de production.

Les conséquences d'une exploitation réussie incluent : le vol de clés API LLM pouvant engendrer des factures massives et immédiates auprès d'OpenAI, Anthropic ou d'autres fournisseurs (des milliers d'euros en quelques heures si les clés sont utilisées pour générer massivement du contenu), le vol de credentials cloud AWS, GCP ou Azure donnant un accès potentiel aux ressources et données cloud des victimes, l'exfiltration de données sensibles traitées par les workflows IA (données clients, documents internes, données de santé), et la possibilité d'enchaîner avec d'autres vulnérabilités pour atteindre une exécution de code distante sur le serveur hôte.

Les startups et équipes R&D qui déploient des instances Langflow partagées pour expérimenter avec différents modèles LLM sont particulièrement exposées. Dans ces environnements, les secrets cloud et LLM sont souvent configurés directement dans les flows Langflow plutôt que dans un gestionnaire de secrets dédié (HashiCorp Vault, AWS Secrets Manager), maximisant l'impact d'une exploitation IDOR. Les prestataires en transformation numérique, les ESN (Entreprises de Services du Numérique) utilisant Langflow pour développer des PoC clients, et les organisations ayant déployé des agents IA multi-tenant sont directement concernés.

Recommandations immédiates

• Mettre à jour Langflow vers la version 1.9.1 ou supérieure immédiatement — advisory : Langflow Security Advisory GHSA-x7vc-vmj9-g579 (GitHub Security Advisories)
• Effectuer une rotation immédiate de toutes les clés API LLM et credentials cloud configurés dans les flows Langflow (OpenAI, Anthropic, AWS, GCP, Azure) — même en l'absence de compromission confirmée
• Si la mise à jour est impossible, restreindre l'accès à Langflow au seul réseau interne ou VPN et limiter les comptes utilisateurs à des personnes de confiance
• Auditer les logs d'exécution de flows pour identifier des exécutions anormales : flows exécutés par des utilisateurs qui n'en sont pas propriétaires, pics d'exécutions inhabituels aux horaires décalés
• Vérifier les factures LLM (tableaux de bord OpenAI, Anthropic) pour détecter une consommation anormale résultant d'une utilisation frauduleuse de clés API volées
• Migrer les secrets LLM et cloud hors de Langflow vers un gestionnaire de secrets dédié (AWS Secrets Manager, HashiCorp Vault) pour réduire l'impact des futures vulnérabilités similaires