Langflow MCP stdio command injection → RCE yang dapat dijangkau sebelum autentikasi, dieksploitasi secara massal di dunia nyata

CVE-2026-105740 (CVSS 9.9, CWE-78) — sebelum versi 1.9.0, setiap pengguna Langflow yang terautentikasi dapat mencapai RCE dengan menambahkan server MCP dengan transport 'Stdio': kolom perintah yang disuplai pengguna diteruskan langsung ke bash -c tanpa daftar izin atau sandbox, dieksekusi sebagai proses Langflow saat daftar server MCP diambil; kolom env memungkinkan injeksi LD_PRELOAD/PATH. Honeypot Previdian mencatat 1.423+ (bertambah menjadi 1.706) percobaan eksploitasi sejak 19 September 2026 dari 27-28 IP di 17 negara, dengan percobaan yang meningkat tajam pada 11 Oktober dan 15 Oktober — payload yang dikumpulkan LANGFLOW_SECRET_KEY/kata sandi superuser dan /etc/passwd. Pola penyerang yang terlihat (cek versi, akses auto_login, serangan brute-force kredensial lemah, lalu beralih ke endpoint konfigurasi MCP) menunjukkan kerentanan ini dapat dijangkau secara praktis pada deployment default.

Ini adalah kompromi pasokan/perkakas agen AI utama pada periode ini: RCE kritis yang dieksploitasi di dunia nyata pada pembangun alur kerja agen AI arus utama, disalahgunakan secara khusus melalui lapisan integrasi MCP. Kompromi memberikan pengambilalihan server penuh, pencurian variabel lingkungan (rahasia LLM), pergerakan lateral, dan persistensi yang bertahan dari tinjauan alur karena konfigurasi MCP tersembunyi di pengaturan proyek. Tim AI yang menjalankan Langflow yang terekspos harus memperlakukan ini sebagai prioritas penambalan level insiden aktif.

Pengguna non-admin yang terautentikasi (atau melalui auto-login permisif/kredensial lemah, yang telah didemonstrasikan penyerang) mengirimkan konfigurasi server MCP yang dibuat khusus ke /api/v2/mcp/servers/{name} dengan kolom perintah; perintah dieksekusi melalui bash -c saat daftar server diambil. Kolom env memungkinkan injeksi LD_PRELOAD/PATH. Konfigurasi berbahaya bertahan dan dieksekusi ulang pada setiap pemuatan daftar server.

Langflow < 1.9.0 (konfigurasi server MCP transport stdio MCP)

Tingkatkan ke Langflow ≥ 1.9.0 (pengerasan akhir di 1.10.3); atur LANGFLOW_AUTO_LOGIN=false; jangan ekspos ke jaringan yang tidak tepercaya; pantau POST /api/v2/mcp/servers/ di log. Lihat GHSA-7w94-79vh-5mr2 dan advisory The Hacker News tertanggal 2026-10-15.