事件经过
CVE-2026-105740（CVSS 9.9，CWE-78）——在1.9.0之前，任何已认证的Langflow用户都可以通过添加使用“Stdio”传输的MCP服务器来实现远程代码执行：用户提供的命令字段被直接传递给bash -c，没有白名单或沙箱机制，在获取MCP服务器列表时以Langflow进程身份执行；env字段允许LD_PRELOAD/PATH注入。Previdian蜜罐记录了自2026年9月19日以来来自17个国家的27-28个IP地址的1,423次（增长至1,706次）利用尝试，攻击尝试在10月11日和10月15日急剧增加——载荷窃取了LANGFLOW_SECRET_KEY/superuser密码和/etc/passwd。观察到的攻击者模式（检查版本、访问auto_login、暴力破解弱凭据，然后转向MCP配置端点）表明，该漏洞在默认部署中实际可达。
影响分析
这是本报告期内最具代表性的AI代理供应链/工具链攻击：一个主流AI代理工作流构建器中存在的严重、已在野外被利用的远程代码执行漏洞，专门通过MCP集成层被滥用。入侵可导致服务器完全接管、环境变量窃取（LLM密钥）、横向移动以及持久化——且能绕过流程审查，因为MCP配置隐藏在项目设置中。运行任何暴露的Langflow的AI团队应将其视为事件级别的紧急修补优先级。
攻击途径
已认证（或通过攻击者演示的宽松自动登录/弱凭据）的非管理员用户向/api/v2/mcp/servers/{name}提交一个带有命令字段的恶意MCP服务器配置；当获取服务器列表时，该命令通过bash -c执行。env字段允许LD_PRELOAD/PATH注入。恶意配置会持久存在，并在每次加载服务器列表时重新执行。
受影响系统
Langflow < 1.9.0（MCP stdio传输MCP服务器配置）
缓解措施
升级至Langflow ≥ 1.9.0（1.10.3中完成最终加固）；设置LANGFLOW_AUTO_LOGIN=false；不要暴露到不受信任的网络；在日志中监控POST /api/v2/mcp/servers/。参见GHSA-7w94-79vh-5mr2和2026-10-15的The Hacker News公告。