Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2026-105697 Inyección de comandos del sistema en Langflow mediante la configuración del servidor MCP stdio

Antes de Langflow 1.10.3, el transporte MCP stdio ejecutaba cualquier comando y argumentos configurados en un servidor MCP, sin lista de permitidos. Un usuario con acceso a la configuración de servidores MCP o que arme un flujo con el componente MCP Tools podía ejecutar comandos arbitrarios en el host de Langflow con el usuario del proceso. Con LANGFLOW_AUTO_LOGIN=true por defecto, GET /api/v1/auto_login entrega un token.

Alerta de Nureq Monitor

Detectada 18 OCT · 22:43

CVSS 3.1

9.9CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,5 % PERCENTIL 40

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-105697

Antes de Langflow 1.10.3, el transporte MCP stdio ejecutaba cualquier comando y argumentos configurados en un servidor MCP, sin lista de permitidos. Un usuario con acceso a la configuración de servidores MCP o que arme un flujo con el componente MCP Tools podía ejecutar comandos arbitrarios en el host de Langflow con el usuario del proceso. Con LANGFLOW_AUTO_LOGIN=true por defecto, GET /api/v1/auto_login entrega un token.

Productos y versiones afectadas

  • langflow-ai langflow

    • >= 1.1.2, < 1.10.3

  • langflow-ai langflow-base

    • >= 0.1.2, < 0.10.3

  • langflow-ai lfx

    • < 1.10.3

Qué hacer

  1. Verificá si usás langflow y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 9.9 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

Langflow is a tool for building and deploying AI-powered agents and workflows. Before Langflow 1.10.3, the MCP stdio transport launched whatever command / args a user put in an MCP server configuration, with no allowlist and (before 1.10.3) wrapped in bash -c "exec {command} ...". Any user able to reach the MCP server settings ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) or to build a flow with the MCP Tools component could add a "server" whose command is an arbitrary OS command (touch, rm -rf, a reverse shell, ...). The command runs on the Langflow host as the Langflow process user as soon as Langflow tries to connect to the server (listing servers, loading tools, running the flow) — even when the UI then reports that the stdio server failed to start. With the default LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login hands out a token without credentials, so on an exposed instance running the default configuration this is reachable without an account. AUTO_LOGIN is documented as a development-only setting; with it disabled, any authenticated (non-admin) user can exploit it. This issue is fixed in Langflow 1.10.3, langflow-base 0.10.3, and lfx 1.10.3.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio Iceman2050/mcp-patch-gap-scanner.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.