Langflow 1.12.10 更新容器相依套件，補強 Brotli 與 npm 套件檢查

Langflow 於 11 月 5 日發布 1.12.10，將兩項相依套件安全修補回補至 1.12 系列。對使用這套 AI 工作流與代理框架的自架團隊，更新涉及實際執行環境：除了 Python 套件，容器中的 Node.js、npm 內附套件與原生壓縮函式庫也納入處理。版本公告

第一項修補把三個執行環境 Dockerfile 的 Node.js 固定為 24.22.2，並提高 Brotli、PyArrow 等 Python 相依套件的最低版本。DuckDuckGo 整合另要求各直譯器使用修補後的 Brotli，原因是 HTTPX 即使在 PyPy 環境也會優先選用該套件；只更新 CFFI 備援實作，仍可能留下舊的解壓縮路徑。修補說明

原生相依套件的版本判讀也是這次更新的重點。Langflow 採用 PyArrow 26.0.1，而 Apache 官方變更紀錄確認，該版已將內附、vcpkg 與 R Windows 建置使用的 Brotli 更新為 1.2.1。維護者指出，掃描資料若仍要求 PyArrow 27.0.0，須核對其版本門檻。這顯示工程團隊需要追查套件實際打包的原生函式庫，才能判斷掃描結果。Apache Arrow 發布紀錄

第二項修補處理 npm 內附的 glob、minimatch，替換套件副本並同步調整使用端的版本宣告，讓相依樹仍可通過驗證。作者回報 84 項相依與 Docker 設定測試通過，也執行了涵蓋離線安裝、npx 與套件版本遞迴檢查的本機冒煙測試。不過，PR 中的自動審查另質疑所選版本是否完整修復問題；這項意見不能直接當成漏洞定論，也使修復效果仍需進一步核實。npm 修補與審查紀錄

部署端下一步應核對最終映像的套件清單，重跑自身工作流與安全掃描。PR 說明仍列有完整映像重建、重新掃描及其他未解相依項目，因此目前可確認的是修補已隨版本發布，尚不足以宣稱所有容器弱點均已消除。驗證限制