CVE-2026-105697 in Langflow
要約
〜によって VulDB • 2026年10月06日
Langflowは、AI搭載のエージェントおよびワークフローの構築とデプロイメントを行うツールです。Langflow 1.10.3より前では、MCP stdioトランスポートが、ユーザーによって指定された任意のコマンド/引数を許可リストなしで実行し（1.10.3以前は `bash -c "exec {command} ..."` でラップされていました）、認証されていない攻撃者がLangflowホスト上でコマンドを実行できる脆弱性がありました。
MCPサーバー設定にアクセス可能なユーザー（「Settings → MCP Servers → Add MCP Server」、POST/PATCH /api/v2/mcp/servers/{server_name}）や、MCP Toolsコンポーネントを使用してフローを構築できるユーザーは、「server」フィールドに任意のOSコマンド（touch, rm -rf, リバースシェルなど）を設定することでこの脆弱性を悪用できます。Langflowがサーバーへの接続を試みる際（サーバーの一覧表示、ツールの読み込み、フローの実行時）、そのコマンドはLangflowプロセスを実行しているユーザー権限でホスト上で実行されます。UI上ではstdioサーバーの起動失敗と報告されていてもです。
デフォルト設定 `LANGFLOW_AUTO_LOGIN=true` が有効な場合、GET /api/v1/auto_login は認証情報なしでトークンを発行するため、公開されたインスタンスがデフォルト構成で稼働している場合はアカウントを持たずにこの脆弱性にアクセス可能です。AUTO_LOGINは開発専用の設定として文書化されていますが、これを無効にしても、認証済み（非管理者）ユーザーであれば依然として悪用できます。
本問題は Langflow 1.10.3、langflow-base 0.10.3、および lfx 1.10.3 で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.