CVE-2026-105697 — Langflow — Corregido en 1.10.3; langflow-base — Corregido en 0.10.3; lfx — Corregido en 1.10.3

Langflow es una herramienta para crear e implementar agentes y flujos de trabajo basados en IA. Antes de Langflow 1.10.3, el transporte stdio de MCP ejecutaba cualquier comando / argumentos que un usuario incluyera en la configuración de un servidor MCP, sin lista de permitidos y (antes de 1.10.3) envueltos en bash -c "exec {command} ...". Cualquier usuario que pudiera acceder a la configuración de servidores MCP ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) o crear un flujo con el componente MCP Tools podía añadir un "servidor" cuyo comando fuera un comando arbitrario del sistema operativo (touch, rm -rf, una reverse shell, ...). El comando se ejecutaba en el host de Langflow con el usuario del proceso de Langflow en cuanto Langflow intentaba conectarse al servidor (listar servidores, cargar herramientas, ejecutar el flujo), incluso cuando la interfaz informaba después de que el servidor stdio no había podido iniciarse. Con el valor predeterminado LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login entrega un token sin credenciales, por lo que en una instancia expuesta con la configuración predeterminada se puede acceder sin tener una cuenta. AUTO_LOGIN está documentado como una opción solo para desarrollo; con esa opción deshabilitada, cualquier usuario autenticado (no administrador) puede explotar la vulnerabilidad. Este problema está corregido en Langflow 1.10.3, langflow-base 0.10.3 y lfx 1.10.3.