No Langflow, cadastrar um servidor MCP pode equivaler a autorizar código

Versões do Langflow anteriores à 1.9.0 são afetadas pela CVE-2026-105740, com CVSS 9,9, relacionada à configuração de servidores MCP com transporte stdio.[3] Uma conta autenticada comum pode cadastrar uma configuração que executa comandos com as permissões do processo Langflow.[3] O ponto relevante não é apenas existir uma integração: é permitir que uma operação aparentemente administrativa atravesse a fronteira para execução no servidor.

O que muda para quem desenvolve

Segundo a notícia, o comando definido pelo usuário é encaminhado ao shell sem uma lista de executáveis permitidos, e o campo de ambiente admite alterações que afetam a resolução ou o carregamento de programas.[3] A execução pode ser acionada ao consultar a lista de servidores MCP, e a configuração persistida pode voltar a ser usada em acessos posteriores, inclusive de administradores.[3]

Isso muda a revisão de segurança de um agente. Conferir apenas o diagrama do fluxo não basta neste caso, porque a configuração problemática fica nas definições do projeto.[3] A recomendação de arquitetura é tratar integrações executáveis como uma capacidade privilegiada, separada da permissão de editar conteúdo ou montar um fluxo.

O contrato da ferramenta precisa dizer quem escolhe o executável, quais argumentos são aceitos e qual ambiente o processo recebe. Esconder essa decisão atrás de um formulário não elimina seu poder.

Como aplicar

A orientação relatada inclui atualizar, desabilitar o login automático, usar senhas fortes e exclusivas e revisar autenticações e acessos à configuração MCP.[3] Além disso, faça um inventário das integrações persistidas e associe cada uma a um responsável.

Para um experimento de autorização, use um ambiente descartável, sem segredos reais, e um usuário com o menor privilégio previsto. Verifique se ele consegue cadastrar ou alterar comandos quando deveria apenas consumir integrações aprovadas. Depois, consulte a listagem e observe se ocorre criação de processos. Use um comando inofensivo previamente autorizado e registre o comportamento, sem reproduzir payloads ofensivos.

Compare o resultado com uma política explícita: catálogo aprovado, identidade de execução limitada e acesso mínimo ao host. Se a implementação não oferece a separação necessária, reduza a exposição e as permissões enquanto planeja a correção. Não compense uma fronteira ausente com confiança informal em todos os usuários.

Cuidados e limites

A Previdian registrou 1.423 tentativas em honeypots desde 19/09/2026, provenientes de 27 endereços IP.[3] Isso descreve atividade nos sensores, não uma contagem de instalações reais comprometidas.[3]

Restringir rede e contas reduz superfície, mas não torna segura uma versão vulnerável.[3] Também não confunda a correção de outra CVE com cobertura automática deste problema. A entrega verificável é saber quem pode executar o quê e sob quais limites, além de confirmar a versão corrigida.

Fonte

[3] Fonte: The Hacker News