Langflow CVE-2026-105697: konfiguracja MCP stdio mogła uruchamiać polecenia

CVE-2026-105697, opublikowany 5 października, opisuje krytyczne wykonanie poleceń w Langflow przez konfigurację serwera MCP stdio. Polecenie działa z uprawnieniami procesu Langflow. Przy włączonym domyślnym LANGFLOW_AUTO_LOGIN=true dostępna instancja może być osiągalna bez konta; wyłączenie tej opcji nie usuwa wektora dostępnego zalogowanemu użytkownikowi.

Rekomendacja Breachroad: ustal, kto może tworzyć konfiguracje MCP i przepływy oraz do czego ma dostęp konto aplikacji. Następnie powiąż aktualizację z rzeczywiście uruchomionymi pakietami. Nie traktuj konfiguracji integracji jako zwykłych danych, jeśli może prowadzić do uruchomienia procesu systemowego.

Sprawdź trzy pakiety, nie tylko nazwę produktu

Według biuletynu projektu zakres i poprawki wyglądają następująco:

Pakiet	Wersje podatne	Wersja z poprawką
langflow	od 1.1.2 do wcześniejszych niż 1.10.3	1.10.3
langflow-base	od 0.1.2 do wcześniejszych niż 0.10.3	0.10.3
lfx	wcześniejsze niż 1.10.3	1.10.3

Ten sam biuletyn wyjaśnia, że kontrola dodana w 1.9.0 nie obejmowała wszystkich ścieżek wykonania. Konfiguracje osadzone w przepływach mogły ominąć walidację modelu REST. Samo odrzucenie nieprawidłowej konfiguracji w jednym formularzu nie potwierdzało usunięcia problemu.

Nasza propozycja: zapisz listę zależności dla wdrożonej instancji, a przy obrazach kontenerowych także identyfikator obrazu. Weryfikacja powinna objąć działające repliki i środowiska utrzymywane poza głównym procesem publikacji. Odpowiedzialność za każdy wyjątek musi mieć konkretny właściciel.

Co zmieniono w wykonaniu integracji

Zmiana #14036 wprowadza wspólną politykę dla konfiguracji API, danych osadzonych w przepływach i granicy uruchomienia procesu. Wydanie 1.10.3 zawiera tę poprawkę.

Wniosek Breachroad dla zespołów tworzących integracje AI: sprawdzenie wejścia powinno towarzyszyć również operacji, która faktycznie uruchamia narzędzie. Import, zapisany przepływ lub alternatywny interfejs nie powinny prowadzić do uprzywilejowanego wykonania tylko dlatego, że ominęły ekran konfiguracji.

W przeglądzie architektury zaznacz punkt przejścia od danych użytkownika do działania systemu. Ustal osobno prawo do edycji konfiguracji, uruchamiania przepływu i zatwierdzania nowej integracji. Osoba korzystająca z gotowego asystenta nie zawsze potrzebuje wszystkich tych uprawnień.

Ogranicz ekspozycję i sprawdź dostęp procesu

Proponujemy zweryfikować ustawienia logowania i dostęp sieciowy do instancji. Środowisko przeznaczone do tworzenia przepływów powinno mieć zdefiniowanych użytkowników oraz administratora. Dostęp do konfiguracji integracji wymaga świadomej decyzji właściciela usługi, szczególnie gdy współdzielą ją różne zespoły.

Przejrzyj również sekrety, katalogi, wolumeny i usługi osiągalne przez konto Langflow. Minimalne uprawnienia ograniczają skutki błędów w narzędziach. Zapisz, kto zatwierdza pakiety i zmiany konfiguracji oraz jak szybko można odłączyć niepożądaną integrację.

Jeżeli podejrzewasz nieautoryzowane wykonanie, zachowaj ślady konfiguracji i uruchomionych procesów, przekaż sprawę zespołowi reagowania oraz oceń dostępne temu kontu dane uwierzytelniające. Nasza rekomendacja operacyjna: powiąż komunikaty interfejsu z rejestrami działania procesu, zanim zamkniesz ocenę zdarzenia.

Scenariusz do przećwiczenia z organizacją

Wyobraźmy sobie wspólną instancję, na której pracownicy dodają integracje do własnych asystentów. W przykładowym procesie lider ogranicza edycję konfiguracji do wyznaczonej grupy, administrator potwierdza poprawione zależności, a zespół bezpieczeństwa opisuje dostęp konta aplikacji. Użytkownicy wiedzą, gdzie zgłosić nowy serwer MCP i kto akceptuje jego użycie.

To propozycja Breachroad, nie opis ataku. Przeczytaj także przewodnik po bezpieczeństwie MCP. Na szkoleniu z cyberbezpieczeństwa i bezpiecznego AI dla organizacji możemy przećwiczyć zatwierdzanie integracji, ocenę uprawnień i reakcję na nieoczekiwane działanie narzędzia.