Aanvallers maken misbruik van een kritieke beveiligingslek in Langflow, volgens een waarschuwing van Previdian.
Langflow is een open-source platform waarmee ontwikkelaars kunstmatige intelligentie (AI)-toepassingen en agentachtige workflows kunnen bouwen. In februari 2025 werd DataStax, het moederbedrijf van Langflow, overgenomen door IBM.
De kwetsbaarheid in kwestie is CVE-2026-105740 (CVSS-score: 9,9), een geval van geauthenticeerde remote code execution dat versies ouder dan 1.9.0 treft.
“Elke geauthenticeerde Langflow-gebruiker kan Remote Code Execution (RCE) op de server bereiken door een MCP-server toe te voegen met de ‘stdio’ transportmethode,” luidt een advies dat vorige maand is vrijgegeven.
“Het door de gebruiker opgegeven command-veld wordt direct doorgegeven aan bash -c “exec {command}” zonder enige validatie, geen allowlisting en zonder sandboxing. Het commando wordt onmiddellijk uitgevoerd wanneer de serverlijst wordt opgehaald. Daarnaast staat het env-veld toe dat willekeurige omgevingsvariabelen worden geïnjecteerd (bijv. LD_PRELOAD, PATH-override).”
De kern van de kwetsbaarheid is dat Langflow een door de gebruiker opgegeven commando accepteert zonder het te beperken tot goedgekeurde uitvoerbare bestanden. Dit kan leiden tot uitvoering van shell-commando’s.
In een hypothetisch aanvalsscenario kan een kwaadwillende het lek als volgt misbruiken:
- Meld je aan als een gewone, niet-admin gebruiker.
- Voeg een kwaadaardige MCP-server toe door een specifiek samengestelde HTTP POST-aanvraag naar “/api/v2/mcp/servers/{server_name}” te sturen met een command-veld dat een kwaadaardige payload bevat (bijv. een reverse shell).
- De server accepteert en slaat het door de aanvaller opgegeven “command” op zonder enige validatie.
- Activeer het lek door de MCP-serverlijst op te vragen via een HTTP GET “/api/v2/mcp/servers?action_count=true”-aanvraag, waardoor het commando wordt uitgevoerd.
- Bereik code-executie.
“Elke geauthenticeerde Langflow-gebruiker (inclusief niet-adminaccounts) kan willekeurige besturingssysteemcommando’s op de server uitvoeren met de privileges van het Langflow-proces,” waarschuwde Langflow.
Succesvolle exploitatie kan leiden tot volledige overname van de server, injectie van omgevingsvariabelen, het mogelijk maken van laterale bewegingen, en de installatie van een persistent achterdeurtje, aangezien de kwaadaardige MCP-serverconfiguratie blijft bestaan en elke keer opnieuw wordt uitgevoerd wanneer de serverlijst wordt geladen.
“In tegenstelling tot aangepaste componentcode die zichtbaar is in de flow-editor, worden MCP-serverconfiguraties opgeslagen in projectinstellingen en zijn ze niet zichtbaar tijdens normale flowreview,” zei Langflow.
Gegevens van Previdian tonen dat sinds 19 september 2026 er 1.423 exploitatiepogingen zijn geregistreerd tegen hun honeypot-sensors, afkomstig van 27 unieke aanvallers‑IP-adressen in België, China, Duitsland, Hongkong, Japan, Nigeria, de Filipijnen, Rusland, Seychellen, Singapore, Zuid-Korea, Taiwan, Tanzania, de VS en Vietnam.
De exploitatie-inspanningen namen toe vanaf 11 oktober 2026, toen 333 pogingen werden geregistreerd. Op het moment van schrijven zijn er op 15 oktober 2026 al 66 pogingen waargenomen.
“We hebben onderzocht hoe aanvallers authenticeren, aangezien deze kwetsbaarheid authenticatie vereist,” vertelde Ryan Dewhurst, oprichter en CEO van Previdian, aan The Hacker News.
“In één waargenomen reeks controleerden aanvallers de Langflow-versie, probeerden /api/v1/auto_login (wat 403 teruggaf omdat het in onze honeypot was uitgeschakeld), en authenticeren vervolgens succesvol met een veelgebruikte gebruikersnaam en wachtwoord. Ze gebruikten onmiddellijk de resulterende bearer-token om toegang te krijgen tot het kwetsbare MCP-serverconfiguratie-endpoint.”
Sommige van de vastgelegde payloads bevatten onder andere:
- Pogingen om omgevingsvariabelen en gevoelige Langflow-configuraties te extraheren, waaronder LANGFLOW_SECRET_KEY en LANGFLOW_SUPERUSER_PASSWORD, en deze naar 146.70.211[.]112:18764 te verzenden.
- Docker-commando’s die proberen toegang te krijgen tot het host-bestandssysteem en de inhoud van “/etc/passwd” te lezen.
- Commando-executieprobes met id, whoami en andere eenvoudige commando’s.
Een aanzienlijk deel van de activiteit komt van het IP-adres “192.255.229[.]92”, dat is waargenomen tijdens pogingen om omgevingsvariabelen te extraheren. Gegevens van GreyNoise laten zien dat dat IP-adres betrokken is geweest bij algemene brute‑force-aanvallen, evenals bij het misbruiken van andere kwetsbaarheden in Flowise (CVE-2026-69255) en Langflow (CVE-2026-55255, CVE-2026-9198 en CVE-2026-0768).
“We raden aan Langflow te upgraden naar een gepatchte versie, auto-login uit te schakelen, sterke en unieke wachtwoorden af te dwingen en authenticatielogs en verzoeken naar /api/v2/mcp/servers/ te controleren op verdachte activiteit,” zei Dewhurst.
Vorige maand loste Langflow ook een andere kritieke kwetsbaarheid op (CVE-2026-105697, CVSS-score: 9,9) die eveneens kon leiden tot injectie van besturingssysteemcommando’s via MCP stdio-serverconfiguratie.
Als onmiddellijke patching geen optie is, wordt geadviseerd LANGFLOW_AUTO_LOGIN=false te zetten, Langflow niet direct bloot te stellen aan onbetrouwbare netwerken, en Langflow-accounts alleen toe te kennen aan vertrouwde gebruikers.
