Gli attaccanti stanno tentando di sfruttare una vulnerabilità critica di command injection che interessa ogni release di Langflow precedente alla 1.9.0, secondo la società di sicurezza Previdian. La falla, tracciata come CVE-2026-105740, consente a qualsiasi utente autenticato di Langflow di eseguire comandi del sistema operativo sul server sottostante.
I sensori honeypot di Previdian hanno registrato il primo tentativo il 19 settembre, più di due settimane prima della pubblicazione del CVE, avvenuta il 5 ottobre, secondo un resoconto di SecurityWeek. La società ha contato più di 1.800 tentativi provenienti da ventotto indirizzi IP in sedici paesi. Questi dati riguardano i sensori di Previdian e non l'intero sfruttamento globale, e un tentativo non dimostra di per sé che un sistema sia stato compromesso.
Gli amministratori dovrebbero aggiornare Langflow alla versione 1.9.0 o successiva.
Configurazione MCP non validata raggiunge bash
Langflow serve a creare e distribuire agenti e flussi di lavoro basati sull'IA. La vulnerabilità risiede nella gestione delle configurazioni dei server Model Context Protocol.
Un utente autenticato può aggiungere un server MCP usando il trasporto Stdio e fornire un comando. Nelle release vulnerabili, Langflow inserisce direttamente quel valore in:
bash -c "exec {command}"
Tra il campo controllato dall'utente e la shell non c'è alcuna validazione, né allowlist o sandbox. Il comando viene eseguito quando viene recuperato l'elenco dei server, con esecuzione di codice remoto sull'host di Langflow.
La stessa configurazione accetta anche variabili d'ambiente arbitrarie. Un attaccante potrebbe manipolare valori come LD_PRELOAD o sovrascrivere PATH, creando ulteriori modi per influenzare quale codice il server carica o esegue.
La vulnerabilità è classificata come CWE-78, ovvero command injection nel sistema operativo. Ha un punteggio CVSS v3 di 9,9, con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Questo indica un attacco raggiungibile dalla rete, che richiede privilegi bassi e nessuna interazione con l'utente, con un impatto potenzialmente elevato su riservatezza, integrità e disponibilità.
Un account valido è il requisito fondamentale
Il CVE-2026-105740 non è descritto come una falla che non richiede autenticazione: lo sfruttamento richiede un account Langflow valido, anche se il record NVD non limita il problema a un ruolo specifico.
Questa condizione rende il controllo degli account parte del quadro difensivo, ma non riduce in modo sostanziale la necessità di applicare la patch. Un utente con privilegi bassi che può aggiungere la configurazione del server MCP pertinente potrebbe superare il confine dell'applicazione ed eseguire comandi sull'host.
Le organizzazioni che usano Langflow dovrebbero individuare le installazioni precedenti alla 1.9.0 e aggiornarle. Nell'analisi di una possibile esposizione, i difensori possono dare priorità alle configurazioni inattese di server MCP Stdio e alle attività legate ad account validi in grado di crearle, trattando il traffico segnalato da Previdian come prova di tentativi di sfruttamento, non come dimostrazione che ogni istanza presa di mira sia stata compromessa con successo.
