Критичната ранливост во Langflow што овозможува далечинско извршување код се цел на 1.423 обиди за експлоатација забележани преку honeypot-системи

Напаѓачите активно искористуваат критичен безбедносен пропуст во Langflow, според предупредувањето објавено од компанијата Previdian.

Langflow е платформа со отворен код што им овозможува на програмерите да создаваат апликации со вештачка интелигенција (AI) и работни текови со автономни AI-агенти. Во февруари 2025 година, IBM ја купи компанијата DataStax, матичната компанија на Langflow.

Станува збор за ранливоста CVE-2026-105740 (CVSS-оценка: 9,9), која овозможува далечинско извршување код (RCE) по успешна автентикација и ги засега верзиите постари од 1.9.0.

„Секој автентициран корисник на Langflow може да постигне далечинско извршување код (RCE) на серверот со додавање MCP-сервер што користи транспортен механизам stdio“, се наведува во безбедносното предупредување објавено минатиот месец.

„Полето за команда што го внесува корисникот се проследува директно до bash -c "exec {command}", без никаква проверка, ограничување на дозволените команди или изолирана средина за извршување (sandbox). Командата се извршува веднаш штом ќе се побара списокот на сервери. Дополнително, полето env овозможува вметнување произволни променливи на опкружувањето, на пример LD_PRELOAD или промена на PATH.“

Суштината на ранливоста е во тоа што Langflow прифаќа команда внесена од корисникот без да ја ограничи на одобрени извршни програми. Ова може да доведе до извршување команди преку командната обвивка (shell).

Како може да се изведе нападот?

Во хипотетичко сценарио, напаѓачот може да ја искористи ранливоста на следниов начин:

1. Се најавува како обичен корисник, без администраторски привилегии.
2. Додава злонамерен MCP-сервер со испраќање специјално изработено HTTP POST-барање до /api/v2/mcp/servers/{server_name}, со поле command што содржи злонамерна команда, на пример обратна командна врска (reverse shell).
3. Серверот ја прифаќа и ја зачувува командата доставена од напаѓачот без никаква проверка.
4. Ја активира ранливоста со барање на списокот на MCP-сервери преку HTTP GET-барање до /api/v2/mcp/servers?action_count=true, со што се извршува командата.
5. Добива можност за извршување код на серверот.

„Секој автентициран корисник на Langflow, вклучително и корисниците без администраторски права, може да извршува произволни команди на оперативниот систем на серверот со привилегиите на процесот на Langflow“, предупреди тимот на Langflow.

Успешната експлоатација може да доведе до целосно компромитирање на серверот, вметнување променливи на опкружувањето, понатамошно ширење низ мрежата (lateral movement) и поставување трајна задна врата (backdoor).

Ова е можно затоа што конфигурацијата на злонамерниот MCP-сервер останува зачувана и командата повторно се извршува секогаш кога ќе се вчита списокот на сервери.

„За разлика од кодот на сопствените компоненти, кој е видлив во уредувачот на работните текови, конфигурациите на MCP-серверите се зачувуваат во поставките на проектот и не се видливи при вообичаениот преглед на работните текови“, соопшти Langflow.

1.423 обиди за експлоатација од 27 IP-адреси

Податоците на Previdian покажуваат дека од 19 септември 2026 година биле регистрирани 1.423 обиди за експлоатација на нејзините honeypot-сензори, од вкупно 27 уникатни IP-адреси на напаѓачи.

Honeypot е безбедносен систем што намерно се поставува како мамка за да ги привлече напаѓачите и да ги евидентира нивните активности.

IP-адресите потекнувале од Белгија, Кина, Германија, Хонг Конг, Јапонија, Нигерија, Филипините, Русија, Сејшелите, Сингапур, Јужна Кореја, Тајван, Танзанија, САД и Виетнам.

Активноста значително се зголемила на 11 октомври 2026 година, кога биле регистрирани 333 обиди. Во моментот на објавување на извештајот, на 15 октомври 2026 година, биле забележани уште 66 обиди.

„Истражувавме како напаѓачите се автентицираат, бидејќи оваа ранливост бара автентикација“, изјави Рајан Дјухрст, основач и извршен директор на Previdian, за The Hacker News.

„Во еден забележан случај, напаѓачите ја провериле верзијата на Langflow, се обиделе да пристапат до /api/v1/auto_login (што вратило одговор 403 бидејќи функцијата била оневозможена во нашиот honeypot), а потоа успешно се автентицирале со користење вообичаено корисничко име и лозинка. Веднаш потоа го искористиле добиениот bearer-токен за пристап до ранливата крајна точка за конфигурација на MCP-серверите.“

Какви злонамерни команди биле забележани?

Меѓу снимените злонамерни команди и активности биле:

• Обиди за кражба на променливи на опкружувањето и чувствителни поставки на Langflow, вклучително и LANGFLOW_SECRET_KEY и LANGFLOW_SUPERUSER_PASSWORD, со намера податоците да се испратат до 146.70.211[.]112:18764.
• Docker-команди со кои се правеле обиди за пристап до датотечниот систем на домаќинот и читање на содржината на /etc/passwd.
• Проверки за извршување команди, со користење на едноставни команди како id, whoami и други.

Значителен дел од активноста потекнува од IP-адресата 192.255.229[.]92, од која биле забележани обиди за извлекување променливи на опкружувањето.

Податоците од GreyNoise покажуваат дека оваа IP-адреса била поврзана со општи напади со груба сила (brute-force), како и со искористување други ранливости во Flowise и Langflow:

• Flowise: CVE-2026-69255
• Langflow: CVE-2026-55255
• Langflow: CVE-2026-9198
• Langflow: CVE-2026-0768

Препораки за заштита

„Препорачуваме надградба на Langflow до верзија во која ранливоста е поправена, оневозможување на автоматското најавување, користење силни и уникатни лозинки и прегледување на дневниците за автентикација и барањата до /api/v2/mcp/servers/ за откривање сомнителни активности“, изјави Дјухрст.

Минатиот месец Langflow отстрани и друга критична ранливост, CVE-2026-105697 (CVSS-оценка: 9,9), која исто така може да доведе до вметнување и извршување команди на оперативниот систем преку конфигурацијата на MCP-сервер што користи stdio.

Доколку не е можно веднаш да се инсталира безбедносната поправка, се препорачува:

• Поставување на LANGFLOW_AUTO_LOGIN=false за оневозможување на автоматското најавување.
• Да не се изложува Langflow директно на недоверливи мрежи или на јавен интернет без соодветна заштита.
• Пристап до Langflow да им се дозволи само на доверливи корисници.

Важно: Бидејќи ранливоста може да ја искористи и обичен автентициран корисник, самото ограничување на администраторскиот пристап не е доволна заштита. Најважно е да се инсталира поправената верзија и да се провери дали веќе имало сомнителни активности на серверот.

Извори:

• The Hacker News – Langflow’s Critical Authenticated RCE Flaw Targeted in 1,423 Honeypot Exploit Attempts The Hacker News