CVE-2026-6600

Langflow przed wersją 1.9.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu (RCE) na serwerze poprzez dodanie serwera MCP z transportem "Stdio". Pole komendy jest przekazywane bezpośrednio do bash -c "exec {command}" bez walidacji, listy dozwolonych komend ani sandboxa. Komenda wykonuje się natychmiast po pobraniu listy serwerów. Dodatkowo pole env pozwala na wstrzyknięcie dowolnych zmiennych środowiskowych (np. LD_PRELOAD, PATH).

Langflow przed wersją 1.10.3 uruchamia dowolne polecenia/argumenty podane przez użytkownika w konfiguracji serwera MCP, bez listy dozwolonych i (przed 1.10.3) owinięte w bash -c "exec {command} ...". Każdy użytkownik mający dostęp do ustawień MCP lub budujący przepływ z komponentem MCP Tools może dodać "serwer" z dowolnym poleceniem OS. Polecenie wykonuje się na hoście Langflow jako proces użytkownika Langflow przy próbie połączenia z serwerem. Przy domyślnym LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login wydaje token bez poświadczeń, więc na wystawionej instancji z domyślną konfiguracją jest to osiągalne bez konta. Z wyłączonym AUTO_LOGIN, każdy uwierzytelniony (nie-admin) użytkownik może to wykorzystać.

Podatność typu Code Injection w langflow do wersji 1.9.3. Uwierzytelniony atakujący może wykonać dowolny kod Python na serwerze, wysyłając złośliwy kod do endpointu /api/v1/validate/code, który wykonuje kod bez sandboxa.

Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy opartych na AI. W wersjach przed 1.9.1, nieautoryzowani użytkownicy mogą przesyłać nieograniczoną ilość danych na serwer, co prowadzi do wyczerpania przestrzeni dyskowej. Dodatkowo, odpowiedź serwera ujawnia absolutną ścieżkę przesłanego pliku, co stanowi wyciek informacji.

Langflow, narzędzie do budowania i wdrażania agentów AI, przed wersją 1.9.0 jest podatne na atak typu Path Traversal w API Baz Wiedzy (DELETE /api/v1/knowledge_bases). Atakujący może wykorzystać tę lukę do usunięcia dowolnych katalogów na serwerze.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.

Langflow przed wersją 1.7.0 pozwala na podanie dowolnej ścieżki w polu fs_path w treści żądania, co powoduje serializację obiektu Flow do JSON i utworzenie lub nadpisanie pliku pod tą ścieżką. Brak ograniczeń ścieżki, normalizacji lub wymuszania dozwolonego katalogu sprawia, że ścieżki absolutne (np. /etc/poc.txt) są interpretowane bez zmian.