Angreifer versuchen, eine kritische Command-Injection-Schwachstelle auszunutzen, die jede Langflow-Version vor 1.9.0 betrifft. Das berichtet die Sicherheitsfirma Previdian. Die unter CVE-2026-105740 geführte Schwachstelle erlaubt jedem authentifizierten Langflow-Nutzer, Betriebssystembefehle auf dem zugrunde liegenden Server auszuführen.
Die Honeypot-Sensoren von Previdian verzeichneten den ersten Versuch am 19. September, mehr als zwei Wochen bevor die CVE am 5. Oktober veröffentlicht wurde. Das geht laut Bericht von SecurityWeek hervor. Die Firma zählte mehr als 1.800 Versuche von 28 IP-Adressen aus 16 Ländern. Diese Zahlen beziehen sich auf die Sensoren von Previdian und nicht auf die Ausnutzung weltweit. Ein Versuch allein beweist zudem nicht, dass ein System kompromittiert wurde.
Administratoren sollten Langflow auf Version 1.9.0 oder neuer aktualisieren.
Ungeprüfte MCP-Konfiguration erreicht bash
Langflow dient dazu, KI-gestützte Agenten und Workflows zu erstellen und bereitzustellen. Die Schwachstelle steckt in der Verarbeitung der Konfigurationen von Model Context Protocol (MCP)-Servern.
Ein authentifizierter Nutzer kann einen MCP-Server mit dem Transport Stdio hinzufügen und dabei einen Befehl angeben. In anfälligen Versionen fügt Langflow diesen Wert direkt in den folgenden Ausdruck ein:
bash -c "exec {command}"
Zwischen dem vom Nutzer kontrollierten Feld und der Shell gibt es keine Validierung, keine Allowlist und keine Sandbox. Der Befehl wird ausgeführt, sobald die Serverliste abgerufen wird, was zur Remote-Code-Ausführung auf dem Langflow-Host führt.
Dieselbe Konfiguration akzeptiert zudem beliebige Umgebungsvariablen. Ein Angreifer könnte Werte wie LD_PRELOAD manipulieren oder PATH überschreiben. So ergeben sich weitere Möglichkeiten, Einfluss darauf zu nehmen, welchen Code der Server lädt oder ausführt.
Die Schwachstelle ist als CWE-78 eingestuft, also als OS-Command-Injection. Sie erhält einen CVSS-v3-Score von 9,9 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Das spiegelt einen über das Netzwerk erreichbaren Angriff wider, der geringe Rechte und keine Nutzerinteraktion erfordert, mit potenziell hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Ein gültiges Konto ist die wichtigste Voraussetzung
[CVE-2026-105740] wird nicht als Schwachstelle ohne Authentifizierung beschrieben. Für die Ausnutzung ist ein gültiges Langflow-Konto nötig. Der NVD-Eintrag beschränkt das Problem allerdings nicht auf eine bestimmte Rolle.
Die Kontrolle über Konten ist damit Teil des Verteidigungskonzepts, verringert aber die Notwendigkeit eines Patches nicht wesentlich. Ein Nutzer mit niedrigen Rechten, der die entsprechende MCP-Serverkonfiguration hinzufügen kann, könnte die Anwendungsgrenze überschreiten und Befehle auf dem Host ausführen.
Organisationen, die Langflow einsetzen, sollten Installationen mit Versionen unter 1.9.0 ermitteln und aktualisieren. Bei der Untersuchung möglicher Gefährdung können Verteidiger unerwartete Stdio-MCP-Serverkonfigurationen und Aktivitäten von gültigen Konten, die solche Konfigurationen anlegen können, vorrangig prüfen. Die von Previdian gemeldeten Zugriffe sollten sie als Hinweise auf Ausnutzungsversuche behandeln, nicht als Beleg dafür, dass jede angegriffene Instanz erfolgreich kompromittiert wurde.
