CVE-2026-105697 in Langflow
Tóm tắt
Bởi VulDB • 06/10/2026
Langflow là một công cụ để xây dựng và triển khai các tác nhân (agents) và quy trình làm việc được hỗ trợ bởi AI. Trước phiên bản Langflow 1.10.3, phương thức vận chuyển MCP stdio đã thực thi bất kỳ lệnh nào / đối số nào mà người dùng đưa vào cấu hình máy chủ MCP, không có danh sách cho phép (allowlist) và (trước phiên bản 1.10.3) được bao bọc trong `bash -c "exec {command} ..."`. Bất kỳ người dùng nào có thể truy cập cài đặt của máy chủ MCP ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) hoặc xây dựng một quy trình làm việc với thành phần MCP Tools đều có thể thêm một "máy chủ" mà lệnh là một lệnh hệ điều hành tùy ý (touch, rm -rf, reverse shell, ...). Lệnh này được thực thi trên máy chủ Langflow dưới danh nghĩa người dùng của tiến trình Langflow ngay khi Langflow cố gắng kết nối với máy chủ (liệt kê các máy chủ, tải công cụ, chạy quy trình làm việc) — thậm chí khi giao diện người dùng báo cáo rằng máy chủ stdio không thể khởi động. Với cấu hình mặc định `LANGFLOW_AUTO_LOGIN=true`, endpoint GET /api/v1/auto_login cấp phát một token mà không cần thông tin đăng nhập, do đó trên các phiên bản công khai chạy với cấu hình mặc định thì điểm yếu này có thể bị lợi dụng mà không cần tài khoản. AUTO_LOGIN được ghi nhận là cài đặt chỉ dành cho mục đích phát triển; khi tính năng này bị vô hiệu hóa, bất kỳ người dùng đã xác thực nào (không phải quản trị viên) đều có thể khai thác lỗ hổng này. Vấn đề này đã được sửa chữa trong Langflow 1.10.3, langflow-base 0.10.3 và lfx 1.10.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.