The Hacker News berichtet, dass die 1.423 registrierten Ausnutzungsversuche von 27 eindeutigen Angreifer-IP-Adressen ausgingen. Diese Adressen verortet Previdian in Belgien, China, Deutschland, Hongkong, Japan, Nigeria, den Philippinen, Russland, den Seychellen, Singapur, Südkorea, Taiwan, Tansania, den USA und Vietnam. Daten von GreyNoise und Previdian zeigen dem Bericht zufolge, dass diese IP-Adresse generische Brute-Force-Angriffe durchgeführt sowie andere Schwachstellen in Flowise (CVE-2026-69255) und Langflow (CVE-2026-55255, CVE-2026-9198 und CVE-2026-0768) ausgenutzt hat.
Der Kern der Sicherheitslücke besteht laut The Hacker News darin, dass Langflow ein vom Nutzer bereitgestelltes Kommando akzeptiert, ohne es auf genehmigte ausführbare Dateien zu beschränken, was zur Shell-Ausführung führen kann. Das vom Nutzer angegebene command-Feld wird ohne Validierung, Allowlisting oder Sandboxing direkt an bash -c "exec {command}" übergeben und sofort ausgeführt, wenn die Serverliste abgerufen wird. Zudem erlaubt das env-Feld die Injektion beliebiger Umgebungsvariablen wie LD_PRELOAD oder eine PATH-Überschreibung. Laut einem im September 2026 veröffentlichten Advisory kann jeder authentifizierte Langflow-Nutzer Remote Code Execution auf dem Server erreichen, indem er einen MCP-Server mit dem Transport 'stdio' hinzufügt.
Langflow warnte, dass jeder authentifizierte Nutzer, einschließlich nicht-administrativer Konten, beliebige Betriebssystembefehle mit den Rechten des Langflow-Prozesses auf dem Server ausführen kann. Das Unternehmen erklärte zudem, dass MCP-Server-Konfigurationen in den Projekteinstellungen gespeichert und bei der normalen Flow-Überprüfung nicht sichtbar sind, anders als benutzerdefinierter Komponentencode, der im Flow-Editor sichtbar ist. Eine erfolgreiche Ausnutzung kann The Hacker News zufolge zur vollständigen Kompromittierung des Servers, zur Injektion von Umgebungsvariablen, zur Erleichterung lateraler Bewegung und zur Bereitstellung einer persistenten Backdoor führen, da die bösartige MCP-Server-Konfiguration bestehen bleibt und bei jedem Laden der Serverliste erneut ausgeführt wird.
Ryan Dewhurst, Gründer und CEO von Previdian, sagte gegenüber The Hacker News, man habe untersucht, wie Angreifer sich authentifizieren, da die Sicherheitslücke eine Authentifizierung erfordert. In einer beobachteten Abfolge prüften Angreifer die Langflow-Version, versuchten /api/v1/auto_login, was mit 403 fehlschlug, da es im Honeypot deaktiviert war, und authentifizierten sich dann erfolgreich mit einem gängigen Benutzernamen und Passwort. Anschließend nutzten sie das erhaltene Bearer-Token sofort, um auf den anfälligen MCP-Server-Konfigurationsendpunkt zuzugreifen. Hinzu kommen Docker-Befehle zum Zugriff auf das Host-Dateisystem und zum Auslesen von /etc/passwd sowie Befehlsausführungsproben mit id, whoami und anderen einfachen Befehlen.
Die Zielrichtung mehrerer Langflow-Schwachstellen deutet The Hacker News zufolge auf einen unbekannten Bedrohungsakteur hin, der systematisch exponierte Instanzen ins Visier nimmt; die Endziele sind derzeit unklar. Bereits im September 2026 behob Langflow eine weitere kritische Betriebssystem-Kommandoinjektions-Schwachstelle (CVE-2026-105697, CVSS-Score 9,9), die ebenfalls zu beliebiger Codeausführung über die MCP-stdio-Serverkonfiguration führen konnte. Diese frühere Lücke wurde in Langflow Version 1.10.3 gepatcht.
Langflow ist eine Open-Source-Plattform, mit der Entwickler KI-Anwendungen und agentische Workflows erstellen können. Im Februar 2025 wurde DataStax, die Muttergesellschaft von Langflow, von IBM übernommen.
Dewhurst empfahl, Langflow auf eine gepatchte Version zu aktualisieren, Auto-Login zu deaktivieren, starke und einzigartige Passwörter durchzusetzen und Authentifizierungsprotokolle sowie Anfragen an /api/v2/mcp/servers/ auf verdächtige Aktivitäten zu prüfen. Falls ein sofortiges Patchen nicht möglich ist, wird The Hacker News zufolge empfohlen, LANGFLOW_AUTO_LOGIN=false zu setzen, Langflow nicht direkt untrusted Netzwerken auszusetzen und Langflow-Konten nur vertrauenswürdigen Nutzern zu gewähren.