Dobësia në Langflow bëhet objekt i 1,423 përpjekjeve të regjistruara për shfrytëzim
Dobësia në Langflow, e gjurmuar si CVE-2026-105740, po shënjestrohet aktivisht, ndërsa Previdian ka regjistruar 1,423 përpjekje shfrytëzimi kundër sensorëve të vet honeypot që prej 19 shtatorit 2026. Sistemet honeypot janë sisteme të monitoruara qëllimisht, të projektuara për të vëzhguar veprimtarinë keqdashëse. Dobësia ka vlerësimin 9.9 sipas Common Vulnerability Scoring System (CVSS) dhe prek versionet e Langflow më të hershme se 1.9.0.
Langflow është një platformë open-source për ndërtimin e aplikacioneve të inteligjencës artificiale dhe workflow-ve të automatizuara të agjentëve. Kompania e saj mëmë, DataStax, u ble nga IBM në shkurt 2025. Dobësia u mundëson përdoruesve të autentikuar remote code execution (RCE), që do të thotë se një person që mund të identifikohet në Langflow mund ta bëjë serverin e tij të ekzekutojë komanda të sistemit operativ. Nuk kërkohen privilegje administratori brenda Langflow, ndaj mjafton një llogari e zakonshme e autentikuar.
Dobësia ndodhet në mënyrën e trajtimit të konfigurimeve të MCP server që përdorin stdio transport, një mënyrë komunikimi me një program përmes input-it dhe output-it të tij standard. Langflow pranon një komandë të dhënë nga përdoruesi dhe ia kalon atë një Bash command shell pa verifikim, pa kufizime për programet e miratuara dhe pa izolim nga sistemi bazë. Komanda ekzekutohet kur merret lista e MCP server të konfiguruar. Konfigurimi pranon gjithashtu environment variables të përcaktuara lirisht, të cilat janë cilësime që u vihen në dispozicion programeve gjatë ekzekutimit, duke përfshirë ndryshime që lidhen me LD_PRELOAD ose PATH.
Një sulmues mund të identifikohet si joadministrator, të dërgojë një kërkesë HTTP POST të krijuar posaçërisht te "/api/v2/mcp/servers/{server_name}" dhe të vendosë një udhëzim keqdashës në fushën command. Langflow e ruan atë udhëzim pa e kontrolluar. Një kërkesë e mëpasshme HTTP GET te "/api/v2/mcp/servers?action_count=true" ngarkon listën e serverëve dhe bën që komanda e ruajtur të ekzekutohet me privilegjet e procesit Langflow. Një payload mund të përfshijë një reverse shell, që e lidh serverin e prekur përsëri me një sulmues dhe i jep atij akses nga larg në command-line.
Langflow paralajmëron se shfrytëzimi me sukses mund të komprometojë serverin, të injektojë environment variables, të mundësojë lateral movement drejt sistemeve të tjera të aksesueshme dhe të instalojë një persistent backdoor. Persistence është e mundur sepse hyrja keqdashëse e MCP server mbetet në cilësimet e projektit dhe mund të ekzekutohet përsëri sa herë që ngarkohet lista e serverëve. Langflow vëren gjithashtu se këto konfigurime normalisht nuk janë të dukshme gjatë shqyrtimit të flow, ndryshe nga kodi i komponentëve të personalizuar që shfaqet në flow editor.
Previdian numëroi veprimtari nga 27 adresa IP unike të vendosura në Belgjikë, Kinë, Gjermani, Hong-Kong, Japoni, Nigeri, Filipine, Rusi, Sejshelle, Singapor, Korenë e Jugut, Tajvan, Tanzani, Shtetet e Bashkuara dhe Vietnam. Përpjekjet u shtuan më 11 tetor 2026, kur u regjistruan 333 të tilla. Në momentin e raportimit, më 15 tetor ishin vërejtur edhe 66 përpjekje të tjera. Ky numër mat kërkesat që arritën te sensorët e Previdian, jo një numër të konfirmuar të sistemeve production të komprometuara.
Për shkak se CVE-2026-105740 kërkon autentikim, Previdian shqyrtoi mënyrën se si sulmuesit e vëzhguar siguruan akses. Në një sekuencë, një sulmues kontrolloi versionin e instaluar të Langflow dhe provoi endpoint-in "/api/v1/auto_login". Auto-login ishte çaktivizuar në honeypot, duke prodhuar një përgjigje 403, por më pas sulmuesi u identifikua me sukses duke përdorur një emër përdoruesi dhe fjalëkalim të zakonshëm. bearer token që rezultoi, një kredencial i përdorur për autorizimin e kërkesave të mëvonshme, u përdor menjëherë për të arritur endpoint-in e cenueshëm të MCP server.
Payload-et e kapura u përpoqën të mblidhnin environment variables dhe cilësime sensitive të Langflow, duke përfshirë LANGFLOW_SECRET_KEY dhe LANGFLOW_SUPERUSER_PASSWORD, përpara se t'i transmetonin ato te 146.70.211[.]112 në portin 18764. Komanda të tjera përdorën Docker për të provuar të arrinin filesystem-in e host-it dhe të lexonin "/etc/passwd". Previdian vëzhgoi gjithashtu kontrolle bazë të ekzekutimit të komandave që përfshinin id dhe whoami, të cilat mund të zbulojnë llogarinë dhe privilegjet me të cilat po ekzekutohet një proces.
Një pjesë e madhe e veprimtarisë erdhi nga 192.255.229[.]92. Të dhënat e GreyNoise dhe Previdian e lidhin atë adresë me përpjekje të përgjithshme brute-force dhe përpjekje shfrytëzimi që përfshijnë dobësinë CVE-2026-69255 të Flowise, si edhe dobësitë CVE-2026-55255, CVE-2026-9198 dhe CVE-2026-0768 të Langflow. Shënjestrimi i disa dobësive të Langflow tregon skanim sistematik të deployment-eve të ekspozuara, por objektivi përfundimtar i aktorit të paidentifikuar mbetet i paqartë.
Administratorët duhet ta përmirësojnë Langflow në versionin 1.9.0 ose në një release të mëvonshëm të korrigjuar, të çaktivizojnë auto-login, të përdorin fjalëkalime të forta dhe unike për llogaritë, si dhe të shqyrtojnë regjistrat e autentikimit dhe kërkesat drejt endpoint-it të MCP server. Nëse një përditësim i menjëhershëm nuk është i mundur, Langflow këshillon vendosjen e LANGFLOW_AUTO_LOGIN=false, mbajtjen e aplikacionit larg rrjeteve të pabesuara dhe kufizimin e llogarive vetëm te përdoruesit e besuar. Muajin e kaluar, Langflow korrigjoi gjithashtu CVE-2026-105697, një tjetër dobësi kritike command-injection me vlerësim 9.9 në konfigurimin e MCP server që përdor stdio transport. Për bizneset që kërkojnë mbështetje për këtë lloj pune të sigurisë së sistemeve, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë në plan të parë.