CVE-2026-105697 — Langflow — Corretto in 1.10.3; langflow-base — Corretto in 0.10.3; lfx — Corretto in 1.10.3

Langflow è uno strumento per costruire e distribuire agenti e flussi di lavoro basati sull'intelligenza artificiale. Prima della versione 1.10.3 di Langflow, il trasporto stdio di MCP avviava qualsiasi comando / argomenti inseriti da un utente nella configurazione di un server MCP, senza alcuna allowlist e (prima della 1.10.3) incapsulandoli in bash -c "exec {command} ...". Qualsiasi utente in grado di raggiungere le impostazioni dei server MCP ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) o di costruire un flusso con il componente MCP Tools poteva aggiungere un "server" il cui comando fosse un comando di sistema arbitrario (touch, rm -rf, una reverse shell, ...). Il comando viene eseguito sull'host di Langflow con i privilegi dell'utente del processo Langflow non appena Langflow tenta di connettersi al server (elenco dei server, caricamento degli strumenti, esecuzione del flusso), anche quando l'interfaccia segnala poi che il server stdio non è riuscito ad avviarsi. Con la configurazione predefinita LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login rilascia un token senza credenziali, quindi su un'istanza esposta con la configurazione predefinita la vulnerabilità è raggiungibile senza un account. AUTO_LOGIN è documentata come impostazione destinata esclusivamente allo sviluppo; con tale impostazione disabilitata, qualsiasi utente autenticato (non amministratore) può sfruttare la vulnerabilità. Il problema è stato corretto in Langflow 1.10.3, langflow-base 0.10.3 e lfx 1.10.3.