CVE-2026-105699

Langflow to narzędzie do budowania i wdrażania agentów i przepływów AI. Od wersji 1.5.0 do 1.10.3 podatność na fałszowanie adresu IP w punkcie końcowym instalacji konfiguracji Model Context Protocol (MCP) (POST /api/v1/mcp/project/{project_id}/install) pozwalała uwierzytelnionym zdalnym atakującym obejść ograniczenie dostępu „tylko lokalnie”. Poprzez wysłanie sfałszowanego nagłówka X-Forwarded-For: 127.0.0.1 atakujący mógł sprawić, że serwer potraktuje żądanie jako pochodzące z localhost, umożliwiając zapis lub nadpisanie pliku konfiguracyjnego klienta MCP w systemie plików serwera.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Od wersji 1.0.0 do 1.10.1, Langflow nie weryfikował własności przepływu w przestarzałych procedurach obsługi POST /api/v1/build/{flow_id}/vertices i POST /api/v1/build/{flow_id}/vertices/{vertex_id}. Do wersji 1.7.1 nieuwierzytelniony wywołujący, który znał UUID przepływu innego użytkownika, mógł dotrzeć do tych procedur; od wersji 1.7.2 do 1.10.0 wywołujący musieli się uwierzytelnić, ale nie potrzebowali podwyższonych uprawnień. Taki wywołujący mógł spowodować, że retrieve_vertices_order załaduje i zapisze w pamięci podręcznej prywatny graf, wyliczy jego identyfikatory wierzchołków i użyje build_vertex do wykonania wybranych wierzchołków i otrzymania ich wyników. build_graph_from_db_no_cache wykonywał wyszukiwanie klucza podstawowego bez filtra właściciela. Mogło to ujawnić prywatną strukturę przepływu, skonfigurowane wartości i wybrane wyniki oraz wywołać skutki uboczne skonfigurowane przez ofiarę i rekordy historii budowania, chociaż nie ujawniało poświadczeń magazynu zmiennych ofiary ani nie pozwalało na modyfikację zapisanego przepływu. Problem został naprawiony w Langflow 1.10.1 i langflow-base 0.10.1.

Langflow przed wersją 1.5.1 miał lukę w zabezpieczeniach, która pozwalała uwierzytelnionym użytkownikom na dostęp do przepływów innych użytkowników bez sprawdzania ich własności. Problem wynikał z braku odpowiedniego filtrowania zapytań w zależności od ustawienia `AUTO_LOGIN`.

Langflow przed wersją 1.9.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu (RCE) na serwerze poprzez dodanie serwera MCP z transportem "Stdio". Pole komendy jest przekazywane bezpośrednio do bash -c "exec {command}" bez walidacji, listy dozwolonych komend ani sandboxa. Komenda wykonuje się natychmiast po pobraniu listy serwerów. Dodatkowo pole env pozwala na wstrzyknięcie dowolnych zmiennych środowiskowych (np. LD_PRELOAD, PATH).

Langflow przed wersją 1.10.3 uruchamia dowolne polecenia/argumenty podane przez użytkownika w konfiguracji serwera MCP, bez listy dozwolonych i (przed 1.10.3) owinięte w bash -c "exec {command} ...". Każdy użytkownik mający dostęp do ustawień MCP lub budujący przepływ z komponentem MCP Tools może dodać "serwer" z dowolnym poleceniem OS. Polecenie wykonuje się na hoście Langflow jako proces użytkownika Langflow przy próbie połączenia z serwerem. Przy domyślnym LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login wydaje token bez poświadczeń, więc na wystawionej instancji z domyślną konfiguracją jest to osiągalne bez konta. Z wyłączonym AUTO_LOGIN, każdy uwierzytelniony (nie-admin) użytkownik może to wykorzystać.

Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy opartych na AI. W wersjach przed 1.9.1, nieautoryzowani użytkownicy mogą przesyłać nieograniczoną ilość danych na serwer, co prowadzi do wyczerpania przestrzeni dyskowej. Dodatkowo, odpowiedź serwera ujawnia absolutną ścieżkę przesłanego pliku, co stanowi wyciek informacji.

Langflow, narzędzie do budowania i wdrażania agentów AI, przed wersją 1.9.0 jest podatne na atak typu Path Traversal w API Baz Wiedzy (DELETE /api/v1/knowledge_bases). Atakujący może wykorzystać tę lukę do usunięcia dowolnych katalogów na serwerze.