CVE-2026-12940-Langflow-Unauth-RCE

CVE-2026-12940 — Langflow OSS ≤ 1.10.1 인증되지 않은 RCE MCP stdio 환경변수 주입 1.10.1까지의 Langflow OSS에서 발생하는 인증되지 않은 원격 코드 실행 취약점입니다. MCP stdio 서버 구성을 보호하는 환경변수 블랙리스트DANGEROUSENVVARS에 SHELLOPTS, BASHOPTS, PS4가 누락되어 있습니다. MCP stdio 런처가 구성된 명령어를 bash -c로 실행하기 때문에, 공격자는 SHELLOPTS=xtrace와 PS4 명령어 치환을 주입하여...