Langflow MCP命令注入漏洞被指已在野利用

Previdian 将 Langflow 的命令注入漏洞 CVE-2026-105740 标记为已在野利用，称其传感器观测到相关利用尝试。该漏洞影响 1.9.0 之前的 Langflow：任何已认证用户添加使用 Stdio 传输的 MCP 服务器时，用户提供的 command 字段会被直接交给 bash -c 执行，没有校验、白名单或沙箱，并在服务器列表被获取时立即运行，env 字段还可注入任意环境变量。漏洞已在 1.9.0 修复，CVE 于 2026 年 10 月 5 日发布。Previdian 称其传感器自 2026 年 9 月 19 日起观测到 1,016 次利用尝试和 24 个攻击者 IP，涉及 12 个国家，该漏洞 CVSS 评分为 9.9。

Langflow 1.9.0 之前版本存在 OS 命令注入漏洞 CVE-2026-105740，CVSS 评分 9.9，公开 PoC 已可用。任何已认证用户可通过添加使用 Stdio 传输的 MCP 服务器实现远程代码执行，用户提供的 command 字段被直接传入 bash -c 执行，无校验、无白名单、无沙箱，且在拉取服务器列表时立即执行；env 字段还允许注入 LD_PRELOAD、PATH 覆盖等任意环境变量。该漏洞在 1.9.0 中修复，EPSS 给出的 30 天内利用概率为 0.59%，目前未被列入 CISA KEV 目录。