根据Previdian的警报，威胁行为者正在利用Langflow中的一个关键安全漏洞。
Langflow是一个开源平台，允许开发人员构建人工智能（AI）应用程序和智能工作流。在2025年2月，Langflow的母公司DataStax被IBM收购。
所讨论的漏洞是CVE-2026-105740（CVSS评分：9.9），这是一个影响1.9.0之前版本的认证远程代码执行漏洞。
“任何经过认证的Langflow用户都可以通过添加一个使用'stdio'传输的MCP服务器在服务器上实现远程代码执行（RCE），”上个月发布的公告中写道。
“用户提供的命令字段直接传递给bash -c "exec {command}"，没有任何验证、没有白名单和没有沙箱。命令在获取服务器列表时立即执行。此外，env字段允许任意环境变量注入（例如，LD_PRELOAD，PATH覆盖）。”
漏洞的关键在于Langflow接受用户提供的命令，而不限制其为批准的可执行文件。这反过来可能导致shell执行。
在一个假设的攻击场景中，恶意行为者可以通过以下方式利用该漏洞 -
以普通非管理员用户身份登录。
通过向“/api/v2/mcp/servers/{server_name}”发送一个精心构造的HTTP POST请求，添加一个恶意的MCP服务器，命令字段包含恶意负载（例如，反向shell）。
服务器接受并存储攻击者提供的“命令”，没有任何验证。
通过HTTP GET请求“/api/v2/mcp/servers?action_count=true”获取MCP服务器列表，从而触发漏洞，导致命令执行。
实现代码执行。
“任何经过认证的Langflow用户（包括非管理员帐户）都可以以Langflow进程的权限在服务器上执行任意操作系统命令，”Langflow警告道。
成功利用可能导致完全的服务器妥协、环境变量注入、促进横向移动以及部署持久后门，因为恶意MCP服务器配置会持续存在，并在每次加载服务器列表时重新执行。
“与在流程编辑器中可见的自定义组件代码不同，MCP服务器配置存储在项目设置中，在正常流程审查期间不可见，”Langflow表示。
来自Previdian的数据表明，自2026年9月19日以来，针对其蜜罐传感器记录了1,423次攻击尝试，来自27个独特的攻击者IP地址，位于比利时、中国、德国、香港、日本、尼日利亚、菲律宾、俄罗斯、塞舌尔、新加坡、韩国、台湾、坦桑尼亚、美国和越南。
攻击努力自2026年10月11日开始加剧，当时注册了333次尝试。截至撰写时，2026年10月15日观察到66次尝试。
“我们调查了攻击者如何进行身份验证，因为该漏洞需要身份验证，”Previdian的创始人兼首席执行官Ryan Dewhurst告诉The Hacker News。
“在一个观察到的序列中，攻击者检查了Langflow版本，尝试了/api/v1/auto_login（由于在我们的蜜罐中被禁用而返回403），然后使用一个常见的用户名和密码成功进行了身份验证。他们立即使用生成的承载令牌访问易受攻击的MCP服务器配置端点。”
一些捕获的负载包括 -
尝试提取环境变量和敏感的Langflow配置，包括LANGFLOW_SECRET_KEY和LANGFLOW_SUPERUSER_PASSWORD，并将其传输到146.70.211[.]112:18764。
尝试访问主机文件系统并读取“/etc/passwd”内容的Docker命令。
使用id、whoami和其他简单命令的命令执行探测。
大量活动源自IP地址“192.255.229[.]92”，该地址被观察到试图提取环境变量。来自GreyNoise的数据表明，该IP地址参与了通用的暴力攻击，以及利用Flowise（CVE-2026-69255）和Langflow（CVE-2026-55255、CVE-2026-9198和CVE-2026-0768）中的其他漏洞。
“我们建议升级Langflow到修补版本，禁用自动登录，强制使用强大且唯一的密码，并审查对/api/v2/mcp/servers/的身份验证日志和请求，以发现可疑活动，”Dewhurst说。
上个月，Langflow还解决了另一个关键漏洞（CVE-2026-105697，CVSS评分：9.9），该漏洞也可能通过MCP stdio服务器配置导致操作系统命令注入。
如果无法立即修补，建议设置LANGFLOW_AUTO_LOGIN=false，避免将Langflow直接暴露于不受信任的网络，并将Langflow帐户授予可信用户。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。