Langflow: OS-Command-Injection über MCP-stdio-Serverkonfiguration

Zusammenfassung

Langflow, eine Plattform zum Erstellen von KI-Agenten und Workflows, führt vor Version 1.10.3 den Befehl und die Argumente einer MCP-stdio-Serverkonfiguration ohne Allowlist auf dem Host aus. Ein Benutzer, der MCP-Servereinstellungen ändern oder Flows mit der Komponente MCP Tools erstellen kann, kann beliebige Betriebssystembefehle auf dem Langflow-Host als Prozessbenutzer von Langflow ausführen, sobald Langflow sich mit diesem Server verbindet. Mit der Standardeinstellung LANGFLOW_AUTO_LOGIN=true kann eine exponierte Instanz ohne Konto angegriffen werden; bei deaktiviertem Auto-Login kann jeder authentifizierte Nicht-Administrator sie ausnutzen.

Betroffen

• langflow (langflow-ai): >= 1.1.2, < 1.10.3
• langflow-base: >= 0.1.2, < 0.10.3
• lfx: < 1.10.3

Behoben in

• langflow 1.10.3
• langflow-base 0.10.3
• lfx 1.10.3

Umgehung

• LANGFLOW_AUTO_LOGIN deaktivieren (eine nur für die Entwicklung vorgesehene Einstellung), damit ohne Zugangsdaten kein Token ausgestellt wird.
• Einschränken, wer MCP-Serverkonfigurationen und Komponenten MCP Tools hinzufügen oder ändern kann.
• Dies sind kompensierende Massnahmen, keine Behebung.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no.
• In den geprüften Quellen wurde keine bestätigte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept für CVE-2026-105697 gefunden.
• Berichte über Ausnutzung betreffen die verwandte CVE-2026-105740, die denselben Codepfad nutzt. Dabei handelt es sich um Sekundärberichte, die nicht verifiziert sind.

Unsere Empfehlung

• Auf Langflow 1.10.3, langflow-base 0.10.3 oder lfx 1.10.3 (oder neuer) aktualisieren.
• Bis zur Behebung LANGFLOW_AUTO_LOGIN=false setzen und Langflow nicht direkt aus dem Internet erreichbar machen.
• Gespeicherte MCP-Servereinträge auf unerwartete Befehle prüfen und Logs auf Anfragen an /api/v2/mcp/servers/ kontrollieren.
• Den Langflow-Host auf Shells oder Netzwerktools überwachen, die vom Langflow-Prozess gestartet werden, und dessen ausgehende Verbindungen einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Iceman2050/mcp-patch-gap-scanner

Quellen der Recherche

• GitHub commit eba285e: harden MCP stdio configuration github.com
• GitHub commit efbc4a1: prevent MCP command injection via allowlist validation github.com
• GitHub pull request #14036 github.com
• Langflow release v1.10.3 github.com
• GitHub Security Advisory GHSA-w794-rj3p-xv45 github.com
• Strix CVE record CVE-2026-105697 www.strix.ai
• TheHackerWire: CVE-2026-105697 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:41.