Flowise et Langflow : deux failles où du code écrit par l'IA s'exécute sur le serveur

Flowise et Langflow sont deux outils libres qui permettent de construire des agents IA en reliant des blocs à la souris, et que l'on peut héberger soi-même. Deux avis de sécurité ajoutés début octobre 2026 à la base de GitHub les concernent, avec un point commun : dans les deux cas, un composant demande à un modèle de langage d'écrire du code Python, puis l'exécute après un contrôle insuffisant.

Flowise : gravité critique, sans authentification

• Identifiants : GHSA-w7x8-q2gp-5cgg, CVE-2026-73487.
• Paquets touchés : flowise et flowise-components jusqu'à la version 3.1.2 incluse.
• Version corrigée : 3.1.3.
• Gravité : critique. La page affiche un score CVSS 4.0 de 9,0 ; la description mentionne un score CVSS 3.1 de 9,3.

Les composants en cause sont les nœuds CSV Agent et Airtable Agent. Ils filtrent le code Python produit par le modèle au moyen d'expressions régulières. Selon l'avis, une injection de prompt envoyée par l'API de prédiction permet de contourner ce filtre, sans authentification et avec la configuration par défaut. Les conséquences décrites : exposition des données chargées, requêtes vers des services internes depuis le serveur, et possible exécution de code.

L'avis précise qu'une faille voisine, corrigée en 3.1.0, portait sur un autre contournement. Être en 3.1.0, 3.1.1 ou 3.1.2 ne suffit donc pas.

Langflow : gravité élevée

• Identifiants : GHSA-9fpm-3445-2vx4, CVE-2026-7700.
• Versions touchées : de 1.3.0 incluse à 1.10.3 exclue.
• Version corrigée : 1.10.3 ; le correctif figure aussi dans la 1.11.0.
• Gravité : élevée, score CVSS 3.1 de 8,8.

Le composant Smart Transform fait générer une fonction Python par un modèle et l'exécute dans le processus Langflow après une vérification de forme superficielle. Un auteur de flux peut l'exploiter directement. Si un flux exposé transmet du contenu extérieur à ce composant, l'exploitation devient possible de façon indirecte, par injection de prompt. Le code tourne alors avec les droits du service Langflow, ce qui donne accès aux identifiants, aux fichiers et aux données de l'application.

Si la mise à jour n'est pas possible tout de suite

L'avis Langflow liste quatre mesures d'attente :

• retirer Smart Transform des flux exécutables ;
• réserver la création, la modification et l'exécution de flux à des utilisateurs de confiance ;
• ne pas faire passer de données extérieures ou non maîtrisées par ce composant ;
• limiter l'accès du processus Langflow au système de fichiers, au réseau et aux identifiants.

L'avis Flowise ne propose pas de contournement : la consigne est de passer en 3.1.3.

Ce que ces avis ne disent pas

Les pages consultées ne permettent pas de savoir si ces failles ont été exploitées. Les deux failles ont été publiées par les projets en juillet et en août, puis intégrées à la base de GitHub les 7 et 5 octobre : une instance qui n'a pas été mise à jour depuis l'été est donc exposée depuis plusieurs mois à une faille documentée. Les deux signalements sont attribués au même chercheur, Peyton Kennedy, d'Endor Labs.

Notre lecture

À faire maintenant : relever la version installée de Flowise ou de Langflow, y compris sur les instances de test oubliées, et mettre à jour. Vérifier aussi qu'aucune de ces instances n'est joignable depuis Internet sans authentification.

La leçon dépasse ces deux produits. Les remèdes décrits dans les deux avis vont dans le même sens : abandonner la simple liste de motifs interdits au profit d'une validation stricte du code généré et d'un environnement d'exécution restreint. Tout outil qui exécute du code écrit par un modèle doit être traité comme s'il exécutait du code écrit par un inconnu : dans un bac à sable, sans accès réseau sortant inutile, et sans les clés de la maison. C'est une question à poser à tout éditeur ou prestataire qui vous propose un agent « analyste de données ».