2026-10-15 16:22:49 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

MCP通道零校验直接RCE：Langflow一波四洞，自托管凭据库可解密（CVE-2026-105740/9205·附PoC）

原创

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月13日 17:30
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

▲ 封面｜漏洞情报（制图：赤霄攻防实验室）

TL;DR

是什么：最受欢迎的开源可视化 AI 工作流平台 Langflow 一波披露四个 CVE——3 个 critical + 1 个 high

有多糟：任一认证用户可经 MCP 通道在服务器上执行任意命令；短密钥自托管实例的凭据库可被复现解密

怎么修：分别已在 1.9.0 与 1.10.1 修复——升级到最新版、轮换密钥、重录凭据

看点：本号发布非破坏性自测脚本，一条命令验证你的凭据库是否还在裸奔

▲ 漏洞波次档案卡（制图：赤霄攻防实验室）

Langflow 是什么，为什么这一波值得所有 AI 团队抬头

Langflow 是目前最流行的开源可视化 AI 工作流平台之一：拖拖拽拽把模型、检索、工具连成 agent 和 RAG 流程，很多企业的内部 AI 平台就是拿它搭的。它也是「MCP 时代」的典型受益者——平台内可以直接挂载 MCP 工具服务，让工作流获得调用外部系统的能力。

能力越大，攻击面越真。这家在官方仓库连发多份安全公告：三个 critical、一个 high，外加若干 medium——覆盖 MCP 传输、AI 代码执行、凭据加密、接口越权四个完全不同的层面。微步情报社区也在昨日以「Langflow OSS 代码注入漏洞（有PoC/有分析/有修复）」为名推送了对应的中文情报。对自托管用户来说，这一波不是「又一个洞」，而是一次系统性体检通知。

▲ Langflow 仓库主页（来源：GitHub）

最狠的一刀：MCP 通道直接 RCE

CVE-2026-105740 的机制简单到令人窒息。平台允许用户自行添加 MCP 工具服务，其中 Stdio 传输类型的命令字段被后端原样拼进 shell 执行——没有任何白名单、校验或沙箱。官方公告的原话是：任一认证用户添加一个 Stdio 类型的 MCP 服务，即可在服务器上执行任意操作系统命令，命令在服务列表拉取时立即触发。

更妙的是环境变量字段同样不设防：注入动态链接器预载路径或改写 PATH，都能让后续进程替攻击者办事。受影响版本为 1.8.3，已在 1.9.0 修复。深层原因值得所有做 AI 平台的团队记一笔：MCP 的 Stdio 传输本来是「本机父子进程」的设计，把它原样搬到多用户 Web 平台而不重做权限模型，等于把每个租户都送到了宿主机跟前。

▲ 官方公告：认证后 RCE via MCP Stdio（来源：GitHub Security Advisory）

凭据库的暗门：一个可复现的加密密钥

CVE-2026-9205 打的是自托管用户的习惯。Langflow 用 Fernet 加密存储你的全部凭据——模型 API key、数据库密码都在里面，而解密密钥由环境变量里的 SECRET\_KEY 派生。问题在于旧版本对短于 32 字符的密钥的处理：用 Python 内置随机模块（非密码学安全的梅森旋转算法）以你的密钥为种子生成字节流。

随机数算法是确定的：相同种子必然产出相同字节。也就是说，只要你的 SECRET\_KEY 是「changeme」这类简单口令，攻击者穷举常见口令就能复现出完全相同的 Fernet 密钥，进而解密库里所有凭据。本号完成了源码级验证：当前主分支已改用 SHA-256 派生，旧推导仅保留用于解密存量数据——也就是说，升级本身不会自动救回旧密钥加密的凭据，轮换动作必须你自己做。

我们按此发布了非破坏性验证脚本：输入你自己的 SECRET\_KEY 和凭据密文，三态输出（弱密钥可解密 / 已用强派生 / 无法判定），全程本地运行、不外发任何数据。脚本已发布至本号 PoC 仓库，见文末参考区。

▲ 官方公告：Weak Fernet Key via random.seed（来源：GitHub Security Advisory）

另外两刀与波次全貌

CVE-2026-33873（critical）出在智能助手功能：系统在「校验阶段」就会执行大模型生成的 Python 代码——校验和执行没有隔离，能影响模型输出就能影响服务器，受影响版本至 1.8.1。CVE-2026-33760（high）则是监控接口有 7 个端点缺失数据归属校验，跨项目读取他人资源属于典型越权。再算上知识库路径穿越、跨用户流程访问、组件 SSRF 等中等 severity，这一波官方公告总计八份。

把八份公告放在一起看，规律很明显：问题集中在「多用户边界」与「AI 特有执行通道」的交叉地带——MCP、代码生成、凭据管理，每一个都是 AI 平台区别于传统 Web 应用的新攻击面。这不是 Langflow 一家的体检报告，而是整个赛道的一次预警。

▲ 根因对照（制图：赤霄攻防实验室）

防御视角：四步处置

1. 立即升级

所有已知问题在最新版本中均已修复（MCP 通道 1.9.0、密钥派生 1.10.1 及之后）。自托管实例没有理由停在旧版本，先升再说。

2. 轮换密钥与凭据

升级只堵住新数据的口子。SECRET\_KEY 换成 32 字符以上的高熵随机值，库里存过的模型 key、数据库密码逐条重录——旧密钥加密的存量数据在升级后仍靠兼容路径解密，弱密钥的锅还在。

3. 给 MCP 上规矩

多用户平台上，Stdio 型 MCP 服务等于把 shell 递给每个登录者：要么禁用，要么收敛到管理员白名单。给团队定一条规矩——平台内只允许接入经过审核的远程型 MCP 服务。

4. 收暴露面

服务端口不应对公网开放，管理接口按最小可见性配置。AI 平台的安全模型默认是「内部可信」，把它当成公网应用来加固，是这波公告最朴素也最有效的教训。

参考来源

GitHub 安全公告：GHSA-7w94-79vh-5mr2（MCP Stdio RCE）/ GHSA-jxw3-mjmx-3pqm（Weak Fernet Key）等 8 份
NVD：CVE-2026-105740 / CVE-2026-9205 / CVE-2026-33873 / CVE-2026-33760
微步情报社区：XVE-2026-39045
本号验证脚本（非破坏三态自测）：https://github.com/Rubby2001/CVE-POCS/tree/main/CVE-2026-9205

觉得有用就点个「在看」，转发给团队里管 AI 平台的那位同事；关注赤霄攻防实验室，每晚一篇高价值安全深度。