Langflow: Authentifizierte Remote Code Execution über MCP-Stdio-Transport

Zusammenfassung

Langflow, eine Plattform zum Erstellen von KI-Agenten und Workflows, erlaubt es jedem authentifizierten Benutzer, einen MCP-Server mit dem Stdio-Transport hinzuzufügen. Die Felder command und env werden ohne Prüfung an bash übergeben, sodass der Befehl ausgeführt wird, sobald die Serverliste abgerufen wird. Ein Angreifer kann beliebige Betriebssystembefehle als Benutzer des Langflow-Prozesses ausführen, wodurch Modell-Provider-Schlüssel, Datenbank-URLs und der geheime Schlüssel offengelegt werden können. Ist Auto-Login aktiviert, sind keine Zugangsdaten nötig, was das Risiko deutlich erhöht.

Betroffen

• Langflow-Versionen vor 1.9.0 (CVE-Eintrag und GHSA-7w94-79vh-5mr2)
• Langflow 1.9.x: Die Korrektur in 1.9.0 ist laut GHSA-w794-rj3p-xv45 und einem öffentlichen Testergebnis unvollständig

Behoben in

• Langflow 1.10.3 oder neuer (vollständige Korrektur laut GHSA-w794-rj3p-xv45 und OSV PYSEC-2026-4237)
• Langflow 1.9.0 wird im CVE-Eintrag als Korrektur genannt, schliesst die Lücke jedoch nicht vollständig

Umgehung

• LANGFLOW_AUTO_LOGIN=false setzen
• Langflow von nicht vertrauenswürdigen Netzwerken fernhalten
• Die Nutzung von MCP Stdio auf unentbehrliche Administratoren beschränken
• Langflow als Nicht-Root-Benutzer betreiben und den Docker-Socket nicht in den Container einbinden

Ausnutzung

• Ausnutzungsversuche werden in freier Wildbahn gemeldet: 1'423 bis 2'023 Honeypot-Versuche je nach Quelle, keine bestätigten Kompromittierungen
• Previdian meldet erste Aktivität am 19. September 2026
• CISA SSVC: Exploitation-Status poc, automatisierbar nein, technische Auswirkung total
• In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt (nicht am Katalog überprüft)
• Öffentliche PoC-Details sind im GHSA-Advisory vorhanden, zudem steht ein Nuclei-Erkennungstemplate zur Verfügung

Unsere Empfehlung

• Auf Langflow 1.10.3 oder neuer aktualisieren; 1.9.0 genügt nicht
• Auto-Login deaktivieren und den Zugriff auf Langflow auf vertrauenswürdige Benutzer beschränken
• Gespeicherte MCP-Server-Einträge auf unerwartete Befehle oder env-Werte prüfen
• Bei vermuteter Exposition LANGFLOW_SECRET_KEY, API-Schlüssel und gespeicherte Zugangsdaten rotieren
• Logs auf von Langflow gestartete bash-Kindprozesse prüfen und Anfragen an MCP-Endpunkte überprüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-7w94-79vh-5mr2 security advisory github.com
• GHSA-w794-rj3p-xv45 security advisory github.com
• Fix commit efbc4a1 github.com
• Pull request #12290 github.com
• OSV PYSEC-2026-4237 osv.dev
• Nuclei templates pull request #17435 github.com
• Previdian CVE-2026-105740 previdian.com
• Honeypot exploitation report (ai-redteam) www.ai-redteam.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:42.