La vulnerabilidad crítica de ejecución remota de código autenticada de Langflow fue el objetivo de 1423 intentos de explotación mediante honeypot.

Según una alerta de Previdian, ciberdelincuentes están explotando una vulnerabilidad crítica en Langflow.

Langflow es una plataforma de código abierto que permite a los desarrolladores crear aplicaciones de inteligencia artificial (IA) y flujos de trabajo basados ​​en agentes. En febrero de 2025, DataStax, la empresa matriz de Langflow, fue adquirida por IBM.

La vulnerabilidad en cuestión es CVE-2026-105740 (puntuación CVSS: 9.9), un caso de ejecución remota de código autenticada que afecta a versiones anteriores a la 1.9.0.

"Cualquier usuario autenticado de Langflow puede lograr la ejecución remota de código (RCE) en el servidor agregando un servidor MCP con el transporte 'stdio'", indica un aviso publicado el mes pasado.

El campo de comando proporcionado por el usuario se pasa directamente a bash -c "exec {comando}" sin validación, sin lista de permisos ni entorno aislado. El comando se ejecuta inmediatamente al obtener la lista de servidores. Además, el campo env permite la inyección de variables de entorno arbitrarias (por ejemplo, LD_PRELOAD, anulación de PATH).

La clave de la vulnerabilidad reside en que Langflow acepta un comando proporcionado por el usuario sin restringirlo a ejecutables aprobados. Esto, a su vez, puede conducir a la ejecución de shell.

En un hipotético escenario de ataque, un atacante podría explotar la vulnerabilidad de la siguiente manera:

Iniciar sesión como un usuario normal, sin privilegios de administrador.

Añadir un servidor MCP malicioso enviando una solicitud HTTP POST manipulada a /api/v2/mcp/servers/{server_name} con un campo de comando que contenga una carga útil maliciosa (por ejemplo, una shell inversa). El servidor acepta y almacena el comando proporcionado por el atacante sin ninguna validación.

Active la vulnerabilidad obteniendo la lista de servidores MCP mediante una solicitud HTTP GET "/api/v2/mcp/servers?action_count=true", lo que provocará la ejecución del comando.

Logre la ejecución de código.

"Cualquier usuario autenticado de Langflow (incluidas las cuentas que no son de administrador) puede ejecutar comandos arbitrarios del sistema operativo en el servidor con los privilegios del proceso de Langflow", advirtió Langflow.

Una explotación exitosa puede resultar en el compromiso total del servidor, la inyección de variables de entorno, facilitar el movimiento lateral y el despliegue de una puerta trasera persistente, ya que la configuración maliciosa del servidor MCP persiste y se vuelve a ejecutar cada vez que se carga la lista de servidores.

"A diferencia del código de componentes personalizados, que es visible en el editor de flujos, las configuraciones del servidor MCP se almacenan en la configuración del proyecto y no son visibles durante la revisión normal del flujo", afirmó Langflow.

Según datos de Previdian, se han registrado 1423 intentos de explotación contra sus sensores honeypot desde el 19 de septiembre de 2026, provenientes de 27 direcciones IP de atacantes únicas ubicadas en Bélgica, China, Alemania, Hong Kong, Japón, Nigeria, Filipinas, Rusia, Seychelles, Singapur, Corea del Sur, Taiwán, Tanzania, Estados Unidos y Vietnam.

Los intentos de explotación se intensificaron a partir del 11 de octubre de 2026, cuando se registraron 333 intentos. Al momento de redactar este informe, se han observado 66 intentos el 15 de octubre de 2026.