CVE-2026-105697 in Langflow
Zusammenfassung
von VulDB • 05.10.2026
Langflow ist ein Tool zum Erstellen und Bereitstellen von KI-gestützten Agenten und Workflows. Vor Langflow 1.10.3 führte der MCP-stdio-Transport jeden Befehl bzw. jede Argumentliste aus, die ein Benutzer in einer MCP-Serverkonfiguration angab, ohne eine Allowlist zu verwenden (und vor Version 1.10.3 wurde dies durch `bash -c "exec {command} ..."` gekapselt). Jeder Benutzer, der auf die MCP-Servereinstellungen zugreifen kann („Settings → MCP Servers → Add MCP Server“, POST/PATCH /api/v2/mcp/servers/{server_name}) oder einen Flow mit der MCP-Tools-Komponente erstellen kann, kann einen „Server“ hinzufügen, dessen Befehl ein beliebiger OS-Befehl ist (z. B. touch, rm -rf, eine Reverse Shell …). Der Befehl wird auf dem Langflow-Host als Benutzer des Langflow-Prozesses ausgeführt, sobald Langflow versucht, sich mit dem Server zu verbinden (Auflisten von Servern, Laden von Tools, Ausführen des Flows) – selbst wenn die Benutzeroberfläche dann meldet, dass der stdio-Server nicht gestartet werden konnte. Bei standardmäßigem `LANGFLOW_AUTO_LOGIN=true` gibt GET /api/v1/auto_login ein Token ohne Anmeldeinformationen aus, sodass dies bei einer exponierten Instanz mit Standardkonfiguration ohne Konto erreichbar ist. AUTO_LOGIN wird als nur für Entwicklungszwecke bestimmt dokumentiert; wenn es deaktiviert ist, kann jeder authentifizierte (nicht-Admin-)Benutzer die Schwachstelle ausnutzen. Dieses Problem wurde in Langflow 1.10.3, langflow-base 0.10.3 und lfx 1.10.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.