Inyección de comandos mediante MCP STDIO: remediación de Langflow y exposición de Fay

Qué es

Estado al 25 de octubre de 2026. Volver a consultar la tabla de paquetes afectados del aviso de Langflow y el registro CVE de Fay para conocer las novedades sobre remediación. El aviso de Langflow publicado el 28 de septiembre de 2026 identifica CVE-2026-105697: una configuración de MCP STDIO no confiable puede provocar la ejecución de comandos del sistema operativo con los privilegios de la aplicación. Tratar la configuración de arranque como código ejecutable, incluidos sus argumentos y su entorno.

El proveedor enumera como afectados langflow >= 1.1.2, < 1.10.3, langflow-base >= 0.1.2, < 0.10.3 y lfx < 1.10.3. Sus respectivas versiones corregidas son 1.10.3, 0.10.3 y 1.10.3. El cambio anterior de Langflow 1.9.0 validaba la API de ajustes; la corrección completa también valida la configuración proporcionada por los flujos inmediatamente antes de crear el proceso y elimina la capa de ejecución mediante shell. Aviso del proveedor.

Por separado, CVE-2026-30618 identifica una gestión insegura de MCP STDIO en Fay 4.3.1. El registro consultado no indica ninguna versión corregida ni un intervalo más amplio de versiones afectadas. Registro del programa CVE.

Por qué importa

CWE-78 abarca tanto la construcción insegura de argumentos de comandos como permitir que una entrada no confiable seleccione el propio ejecutable. Eliminar la interpretación del shell solo resuelve una parte del problema. Un intérprete o un lanzador de paquetes todavía puede ejecutar el código que le proporcione quien lo invoque. Un proceso no debería tener más permisos sobre el sistema de archivos o la red de los que necesita para su tarea asignada. CWE-78.

El aviso de Langflow advierte de que la ejecución puede producirse antes de que falle la conexión MCP. Por tanto, un error de arranque no demuestra que no se haya ejecutado nada. Investigar la creación inesperada de procesos o los cambios de configuración como posibles indicios de exposición; estas señales no son indicadores exclusivos de esta CVE.

Cómo aplicarlo

• Inventariar el entorno desplegado. En un entorno que siga siendo de confianza, ejecutar python3 -m pip show langflow langflow-base lfx; comparar los paquetes indicados con el aviso, incluidas las dependencias dentro de la imagen desplegada. Este comando muestra los metadatos de los paquetes instalados. pip show.
• Para Langflow, desplegar una versión con soporte que contenga la corrección completa. Repetir el inventario de paquetes y revisar las configuraciones guardadas de MCP y de flujos antes de volver a habilitarlas.
• Para Fay, verificar la copia del repositorio desplegada frente a los registros de versiones y restringir el acceso de administración a administradores de confianza hasta que se confirme una remediación. Considerarlo una medida de contención del operador, no una prueba de que exista una corrección del proveedor.
• Hacer explícito el permiso para instalar o modificar un servidor local. Mostrar el ejecutable completo y sus argumentos antes de la aprobación. Registrar la definición aprobada y exigir una revisión cuando cambie. Las recomendaciones de seguridad de MCP requieren consentimiento antes de la ejecución y privilegios restringidos para los servidores locales. Recomendaciones de seguridad de MCP.
• Aplicar una lista de programas aprobados y formas de argumentos permitidas en el momento de crear el proceso. Validar también en ese punto las modificaciones del entorno. Aplicar la misma política a los ajustes, los flujos importados y los demás orígenes de configuración; una comprobación en una sola interfaz de usuario no es suficiente.
• Como precaución de respuesta a incidentes, aislar un despliegue que presente procesos hijos sin explicación, conservar los registros pertinentes, revisar las credenciales disponibles para su cuenta y reconstruirlo a partir de elementos de confianza si se confirma una ejecución no autorizada. Revocar las credenciales expuestas a través de sus emisores.

Trampas

Una lista de comandos permitidos debe limitar lo que puede hacer cada programa autorizado. Aprobar un intérprete de propósito general con argumentos arbitrarios ofrece pocas restricciones. Todo invocador necesita autorización para lanzar procesos; estar autenticado no es suficiente. Mantener separadas las comprobaciones de autorización, validación del arranque y aislamiento mediante el sistema operativo.