Atores de ameaça estão explorando uma falha crítica de segurança no Langflow, segundo um alerta da Previdian.
O Langflow é uma plataforma de código aberto que permite a desenvolvedores criar aplicações de inteligência artificial (IA) e fluxos de trabalho com agentes. Em fevereiro de 2025, a IBM adquiriu a DataStax, empresa controladora do Langflow.
A vulnerabilidade, identificada como
CVE-2026-105740
e com pontuação CVSS de 9,9, permite a execução remota de código (RCE) por usuários autenticados. Ela afeta versões anteriores à 1.9.0.
“Qualquer usuário autenticado do Langflow pode executar código remotamente no servidor ao adicionar um servidor MCP com transporte `stdio`”, diz um aviso publicado no mês passado.
“O campo de comando fornecido pelo usuário é passado diretamente para `bash -c "exec {command}"`, sem validação, lista de permissões ou isolamento em sandbox. O comando é executado assim que a lista de servidores é consultada. Além disso, o campo `env` permite a injeção de variáveis de ambiente arbitrárias, como `LD_PRELOAD`, e a substituição de `PATH`.”
A falha ocorre porque o Langflow aceita comandos fornecidos pelo usuário sem restringi-los a programas aprovados. Isso pode permitir a execução de comandos no shell.
Em um cenário hipotético, um invasor poderia explorar a falha da seguinte forma:
1. Entrar na plataforma com uma conta comum, sem privilégios de administrador.
2. Adicionar um servidor MCP malicioso enviando uma solicitação HTTP do tipo POST para `/api/v2/mcp/servers/{server_name}`, com um campo `command` contendo código malicioso, como um shell reverso.
3. O servidor aceitar e armazenar o comando fornecido pelo invasor sem qualquer validação.
4. Acionar a falha ao consultar a lista de servidores MCP por meio de uma solicitação HTTP do tipo GET para `/api/v2/mcp/servers?action_count=true`, fazendo com que o comando seja executado.
5. Obter execução de código no servidor.
“Qualquer usuário autenticado do Langflow, inclusive contas sem privilégios de administrador, pode executar comandos arbitrários do sistema operacional no servidor, com os privilégios do processo do Langflow”, alertou a Previdian.
Uma exploração bem-sucedida pode permitir o comprometimento total do servidor, a injeção de variáveis de ambiente, a movimentação lateral pela rede e a instalação de um backdoor persistente. Isso porque a configuração maliciosa do servidor MCP permanece armazenada e é executada novamente sempre que a lista de servidores é carregada.
“Ao contrário do código de componentes personalizados, que fica visível no editor de fluxos, as configurações de servidores MCP são armazenadas nas definições do projeto e não aparecem durante uma revisão normal dos fluxos”, informou o Langflow.
Dados da Previdian indicam que seus sensores de honeypot registraram 1.423 tentativas de exploração desde 19 de setembro de 2026. As tentativas partiram de 27 endereços IP distintos, localizados na Bélgica, China, Alemanha, Hong Kong, Japão, Nigéria, Filipinas, Rússia, Seychelles, Singapura, Coreia do Sul, Taiwan, Tanzânia, Estados Unidos e Vietnã.
As tentativas aumentaram a partir de 11 de outubro de 2026, quando foram registradas 333. Até 15 de outubro de 2026, data de publicação deste texto, outras 66 tentativas haviam sido observadas.
No mês passado, o Langflow também corrigiu outra vulnerabilidade crítica,
CVE-2026-105697
, com pontuação CVSS de 9,9. Ela também poderia permitir a injeção de comandos do sistema operacional por meio da configuração de um servidor MCP com transporte `stdio`.
Se não for possível instalar o patch imediatamente, recomenda-se definir `LANGFLOW_AUTO_LOGIN=false`, evitar expor o Langflow diretamente a redes não confiáveis e conceder contas da plataforma apenas a usuários confiáveis.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...