ช่องโหว่ Langflow CVE-2026-105740 คะแนน CVSS 9.9 ถูกโจมตีจริง ผู้ใช้ทั่วไปที่ล็อกอินได้เพิ่ม MCP server แบบ stdio แล้วรันคำสั่งบนเซิร์ฟเวอร์ได้ทันที honeypot ของ Previdian บันทึกความพยายามโจมตีแล้วกว่า 1,700 ครั้ง
Langflow แพลตฟอร์มโอเพนซอร์สสร้างแอป AI มีช่องโหว่ CVE-2026-105740 คะแนน CVSS 9.9 ในเวอร์ชันก่อน 1.9.0 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้ แม้ไม่ใช่แอดมิน เพิ่ม MCP server แบบ stdio ที่ใส่คำสั่งอะไรก็ได้ แล้วคำสั่งจะรันทันทีเมื่อเรียกดูรายการเซิร์ฟเวอร์ honeypot ของ Previdian บันทึกความพยายามโจมตี 1,706 ครั้งจาก 28 IP ตั้งแต่ 19 ก.ย. 2569 ผู้โจมตีล็อกอินด้วยรหัสผ่านที่เดาง่ายแล้วพยายามดึง secret key และรหัสผ่าน superuser ผู้ดูแลควรอัปเดต ปิด auto-login และไม่เปิด Langflow สู่อินเทอร์เน็ต