Des attaquants tentent d'exploiter une vulnérabilité critique d'injection de commande qui touche toutes les versions de Langflow antérieures à la 1.9.0, selon la société de sécurité Previdian. La faille, référencée sous l'identifiant CVE-2026-105740, permet à tout utilisateur Langflow authentifié d'exécuter des commandes du système d'exploitation sur le serveur sous-jacent.
Les capteurs honeypot de Previdian ont enregistré la première tentative le 19 septembre, soit plus de deux semaines avant la publication de la CVE, le 5 octobre, selon le reportage de SecurityWeek. La société a dénombré plus de 1 800 tentatives provenant de 28 adresses IP réparties dans 16 pays. Ces chiffres concernent les capteurs de Previdian et non l'exploitation à l'échelle mondiale, et une tentative ne prouve pas à elle seule qu'un système a été compromis.
Les administrateurs doivent mettre Langflow à niveau vers la version 1.9.0 ou ultérieure.
Une configuration MCP non validée parvient à bash
Langflow sert à créer et à déployer des agents et des workflows alimentés par l'IA. La vulnérabilité se situe dans la gestion des configurations de serveurs Model Context Protocol (MCP).
Un utilisateur authentifié peut ajouter un serveur MCP utilisant le transport Stdio et fournir une commande. Sur les versions vulnérables, Langflow insère directement cette valeur dans :
bash -c "exec {command}"
Aucune validation, liste d'autorisation ni bac à sable ne sépare le champ contrôlé par l'utilisateur du shell. La commande s'exécute lors de la récupération de la liste des serveurs, ce qui entraîne une exécution de code à distance sur l'hôte Langflow.
La même configuration accepte aussi des variables d'environnement arbitraires. Un attaquant pourrait manipuler des valeurs comme LD_PRELOAD ou remplacer PATH, ce qui crée d'autres moyens d'influencer le code chargé ou exécuté par le serveur.
La vulnérabilité est classée CWE-78, soit une injection de commande du système d'exploitation. Elle affiche un score CVSS v3 de 9,9 avec le vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Cela correspond à une attaque accessible depuis le réseau, nécessitant de faibles privilèges et aucune interaction de l'utilisateur, avec un impact potentiellement élevé sur la confidentialité, l'intégrité et la disponibilité.
Un compte valide est la condition préalable essentielle
La CVE-2026-105740 n'est pas décrite comme une faille non authentifiée. L'exploitation nécessite un compte Langflow valide, même si l'enregistrement NVD ne restreint pas le problème à un rôle particulier.
Cette condition fait du contrôle des comptes un élément de la défense, mais elle ne réduit pas sensiblement le besoin de correctifs. Un utilisateur peu privilégié capable d'ajouter la configuration de serveur MCP concernée peut franchir la frontière de l'application et exécuter des commandes sur l'hôte.
Les organisations qui utilisent Langflow doivent identifier les installations antérieures à la 1.9.0 et les mettre à niveau. Lors de l'examen d'une exposition possible, les défenseurs peuvent prioriser les configurations de serveurs MCP Stdio inattendues et l'activité des comptes valides capables de les créer. Il convient de considérer le trafic signalé par Previdian comme une preuve de tentatives d'exploitation, et non comme la preuve que chaque instance visée a été effectivement compromise.
