CVE-2026-105740

Nome do Software Vulnerável e Versões Afetadas Langflow versões anteriores a 1.9.0

Description Usuários autenticados podem alcançar a Execução Remota de Código (RCE) no servidor ao adicionar um servidor Model Context Protocol (MCP) usando o transporte "Stdio". O campo command é passado diretamente para bash -c "exec {command}" sem validação, lista de permissões ou sandboxing, fazendo com que o comando seja executado imediatamente quando a lista de servidores é recuperada. Além disso, o campo env permite a injeção arbitrária de variáveis de ambiente, como a substituição do PATH ou o uso de LD PRELOAD. RCE é uma falha de segurança que permite a um invasor executar código arbitrário em uma máquina remota.

Recommendations Atualizar para a versão 1.9.0.