CVE-2026-105697 — Langflow — Corrigé dans 1.10.3; langflow-base — Corrigé dans 0.10.3; lfx — Corrigé dans 1.10.3

Langflow est un outil permettant de créer et de déployer des agents et des workflows basés sur l'IA. Avant Langflow 1.10.3, le transport stdio de MCP lançait toute commande / tous arguments saisis par un utilisateur dans une configuration de serveur MCP, sans liste d'autorisation et (avant 1.10.3) enveloppés dans bash -c "exec {command} ...". Tout utilisateur capable d'accéder aux paramètres des serveurs MCP ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) ou de créer un flux avec le composant MCP Tools pouvait ajouter un « serveur » dont la commande est une commande système arbitraire (touch, rm -rf, un reverse shell, ...). La commande s'exécute sur l'hôte Langflow, sous l'utilisateur du processus Langflow, dès que Langflow tente de se connecter au serveur (liste des serveurs, chargement des outils, exécution du flux), même lorsque l'interface signale ensuite l'échec du démarrage du serveur stdio. Avec la valeur par défaut LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login délivre un jeton sans identifiants ; sur une instance exposée utilisant la configuration par défaut, la faille est donc accessible sans compte. AUTO_LOGIN est documenté comme un paramètre réservé au développement ; lorsqu'il est désactivé, tout utilisateur authentifié (non administrateur) peut l'exploiter. Ce problème est corrigé dans Langflow 1.10.3, langflow-base 0.10.3 et lfx 1.10.3.