Ciberseguridad · Alerta
CVE-2026-55255: un IDOR crítico en Langflow deja expuestos los flujos de agentes de IA ajenos
12 de julio de 2026 · 4 min de lectura · Por Redacción Cubix Academia · Nivel avanzado
Una vulnerabilidad de control de acceso en Langflow, herramienta de código abierto para construir agentes de IA, permite a un atacante autenticado ejecutar los workflows de otros usuarios. CISA ya la ha añadido a su catálogo de vulnerabilidades explotadas activamente.
Qué es Langflow y por qué este fallo no es uno más
Langflow es una herramienta de código abierto, con interfaz visual de arrastrar y soltar, para construir y desplegar agentes y flujos de trabajo basados en modelos de lenguaje. Se ha convertido en pieza habitual de la caja de herramientas de equipos que prototipan o llevan a producción aplicaciones de IA: orquesta llamadas a modelos, conecta fuentes de datos y expone esos flujos como endpoints que otras aplicaciones pueden invocar.
El 7 de julio, CISA (la agencia estadounidense de ciberseguridad e infraestructura) añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV) tres nuevos fallos, entre ellos CVE-2026-55255: una vulnerabilidad de bypass de autorización en Langflow con una puntuación CVSS de 9.9, prácticamente el máximo de la escala.
El fallo, en términos concretos
Según la documentación técnica publicada por SentinelOne y por el equipo de Threat Frontier Labs, el problema reside en el endpoint /api/v1/responses de Langflow, presente en todas las versiones anteriores a la 1.9.2. Ese endpoint acepta un identificador de flujo proporcionado por el propio cliente, pero no verifica en el servidor si quien hace la petición es realmente el propietario de ese flujo o tiene permiso para invocarlo.
El resultado es un IDOR (Insecure Direct Object Reference) de manual, clasificado como CWE-639: cualquier atacante que disponga de una cuenta autenticada en la instancia, y conozca o adivine el identificador de un flujo ajeno, puede ejecutarlo como si fuera propio. Eso implica acceso cruzado entre inquilinos, exposición de los datos que ese flujo procesa y consumo no autorizado de los recursos de cómputo de la víctima.
No es una vulnerabilidad exótica ni específica de los modelos de lenguaje. Es un error de autorización de los que llevan documentándose más de dos décadas en el top de OWASP. Lo relevante es dónde ha aparecido: en la capa de orquestación que decide qué instrucciones recibe un agente de IA y con qué datos.
Inicia sesión para leer este artículo
Es una publicación gratuita: solo hace falta una cuenta, sin suscripción.