CVE-2026-105697 in Langflow
Sumário
de VulDB • 06/10/2026
Langflow é uma ferramenta para criar e implantar agentes e fluxos de trabalho alimentados por IA. Antes do Langflow 1.10.3, o transporte MCP stdio executava qualquer comando / argumentos que um usuário inserisse na configuração de um servidor MCP, sem lista de permissões (allowlist) e (antes da versão 1.10.3) envolto em `bash -c "exec {command} ..."`. Qualquer usuário capaz de acessar as configurações do servidor MCP ("Configurações → Servidores MCP → Adicionar Servidor MCP", POST/PATCH /api/v2/mcp/servers/{server_name}) ou criar um fluxo com o componente Ferramentas MCP poderia adicionar um "servidor" cujo comando é um comando arbitrário do sistema operacional (touch, rm -rf, reverse shell, ...). O comando é executado no host do Langflow como o usuário do processo do Langflow assim que o Langflow tenta se conectar ao servidor (listando servidores, carregando ferramentas ou executando o fluxo) — mesmo quando a interface relata que o servidor stdio falhou na inicialização. Com o LANGFLOW_AUTO_LOGIN=true padrão, GET /api/v1/auto_login emite um token sem credenciais, portanto, em uma instância exposta com a configuração padrão, isso é acessível sem conta de usuário. AUTO_LOGIN é documentado como uma configuração exclusiva para desenvolvimento; com ela desativada, qualquer usuário autenticado (não administrador) pode explorá-la. Este problema foi corrigido no Langflow 1.10.3, langflow-base 0.10.3 e lfx 1.10.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.