Langflow 1.12.10、コンテナの依存パッケージを更新し、Brotli と npm パッケージのチェックを強化

Langflow は11月5日に1.12.10をリリースし、2件の依存パッケージのセキュリティ修正を1.12系列に取り込みました。このAIワークフロー・エージェントフレームワークをセルフホストするチームにとって、更新対象は実行環境に関わります。Pythonパッケージに加え、コンテナ内の Node.js、npm に同梱されるパッケージ、ネイティブ圧縮ライブラリも対象です。リリース告知

1件目の修正では、3つの実行環境用 Dockerfile で Node.js のバージョンを24.22.2に固定し、Brotli、PyArrow など Python 依存パッケージの最低バージョンを引き上げました。DuckDuckGo の統合では、各インタープリターで修正済みの Brotli を使うよう求めています。HTTPX は PyPy 環境でもこのパッケージを優先して使用するためです。CFFI のフォールバック実装だけを更新しても、古い解凍経路が残る可能性があります。修正の説明

ネイティブ依存パッケージのバージョンの見極めも、今回の更新の重要な点です。Langflow が採用する PyArrow 26.0.1について、Apache の公式変更履歴では、同バージョンが同梱版、vcpkg、および R の Windows ビルドで使用される Brotli を1.2.1に更新したことが確認できます。メンテナーは、スキャンデータが依然として PyArrow 27.0.0を要求している場合、そのバージョン要件を確認する必要があると指摘しています。スキャン結果を評価するには、パッケージに実際に含まれるネイティブライブラリを追跡する必要があることを示しています。Apache Arrow のリリース履歴

2件目の修正では、npm に同梱される glob と minimatch を扱い、パッケージのコピーを置き換えるとともに、利用側のバージョン宣言を調整して依存関係ツリーの検証を通過できるようにしました。作者によると、依存関係と Docker 設定に関する84件のテストが成功し、オフラインインストール、npx、パッケージバージョンの再帰的チェックを含むローカルのスモークテストも実施されました。一方、PR の自動レビューでは、選択したバージョンで問題が完全に修正されるかについて疑問が示されています。この指摘だけで脆弱性が確定するわけではありませんが、修正の効果は引き続き検証が必要です。npm の修正とレビュー記録

デプロイ担当者は次に、最終イメージのパッケージ一覧を確認し、自社のワークフローを再実行してセキュリティスキャンをやり直す必要があります。PR の説明には、イメージ全体の再ビルドと再スキャン、その他の未解決の依存項目が引き続き記載されています。現時点で確認できるのは、修正がリリースに含まれたことです。すべてのコンテナの脆弱性が解消されたと結論づけるには、まだ不十分です。検証上の制約