CVE-2026-105697: Langflow ejecuta cualquier comando configurado como servidor MCP stdio (CVSS 9.9)
Antes de la 1.10.3, el transporte MCP stdio de Langflow lanzaba el command/args que el usuario pusiera en la configuración de un servidor MCP, sin allowlist y envuelto en bash -c "exec ...". Cualquiera con acceso a Settings → MCP Servers (o a POST/PATCH /api/v2/mcp/servers/{name}), o que pudiera armar un flow con el componente MCP Tools, ejecuta comandos en el host apenas Langflow intenta conectarse, aunque la UI muestre que el servidor «falló». Ojo con esto: con el default LANGFLOW_AUTO_LOGIN=true, /api/v1/auto_login entrega un token sin credenciales, así que una instancia expuesta queda en RCE sin autenticación. Afecta langflow 1.1.2–1.10.2, langflow-base < 0.10.3 y lfx < 1.10.3. Es el tercer RCE crítico de Langflow en una semana.
CVE-2026-62176: code injection en el generador de servidores de deploy de PraisonAI (CVSS 9.1)
El módulo deploy/api.py de PraisonAI genera el código Python del servidor interpolando el parámetro agents_file directo en un f-string, lo escribe a disco y lo ejecuta con subprocess.Popen(). Un valor como "); import os; os.system("id"); # rompe el string y mete código arbitrario. Quien controle agents_file (CLI, config o una API upstream) ejecuta código en el host. Afecta PraisonAI ≤ 4.6.77; actualizá a 4.6.78, que salió en el mismo lote con otros cuatro advisories del framework.
CVE-2026-106442 y CVE-2026-106439: el blocklist de instantiate() de Hydra se vuelve a saltear
Hydra, el framework de configuración de Meta que medio ecosistema de entrenamiento de modelos usa para resolver _target_, publicó dos bypasses del blocklist que había agregado para CVE-2026-68508. El primero (CVSS 7.8) se lo saltea con wrappers como timeit.timeit, pickle.loads o helpers que devuelven callables; se corrige en 1.3.6. El segundo (CVSS v4 8.5) es más elegante: como el blocklist vive en estado mutable a nivel de módulo, un nodo hermano de la config llama a .discard() para sacar una entrada y el siguiente instancia el target prohibido; se corrige en 1.3.7. El propio advisory lo dice: el blocklist es defense-in-depth, no una frontera de seguridad. Si cargás configs YAML de terceros (recetas de fine-tuning, checkpoints con config embebida), tratalas como código.
CVE-2026-105699: el handler de recursos MCP de Langflow lee archivos de otros usuarios
El transporte MCP por proyecto de Langflow autentica al caller para el project_id de la URL, pero la operación resources/read no autoriza la URI pedida. Un usuario autenticado se conecta a su propio endpoint MCP y pide un URI de descarga que apunta a un archivo de un flow ajeno: el server lo lee y lo devuelve sin chequear ownership. CVSS v4 7.1; afecta 1.6.8–1.9.0, corregido en 1.9.1.
CVE-2026-105744: un .tex malicioso lee y escribe archivos en Docling (y ejecuta comandos con shell-escape)
Docling, el parser de documentos de IBM muy usado en pipelines RAG, compila TikZ con Tectonic sin restringir las primitivas de archivo de TeX cuando se configura tikz_engine="tectonic". Un .tex con \input{/ruta/absoluta} o \openin lee cualquier archivo accesible al proceso y puede escribir donde el proceso pueda; si además está tikz_engine_allow_shell_escape=True, \write18 ejecuta comandos. CVSS 7.5; afecta 2.94.0–2.131.x, corregido en 2.132.0. Llegó junto con otros cinco advisories de Docling el mismo día.
CVE-2026-61439: la defensa anti prompt injection de PraisonAI solo bloqueaba si fallaban tres chequeos a la vez
PraisonAI trae una capa «Injection Defense» con seis categorías de detección (instruction override, authority claims, boundary manipulation, ofuscación, manipulación financiera y self-harm). El problema: el umbral de bloqueo por default era CRITICAL, que recién se alcanza cuando disparan tres o más chequeos. Un clásico «Ignore all previous instructions. You are now DAN...» dispara uno solo, queda en HIGH, se loguea y pasa derecho. CVSS 7.5, corregido en 4.6.78. La lección vale para cualquier guardrail: si el default es solo-loguear, en producción no tenés guardrail.
CVE-2026-61436: el webhook de AgentMail de PraisonAI acepta mensajes falsos y despierta a los agentes
En modo webhook, praisonai expone un endpoint aiohttp público que acepta eventos message.received sin verificar las firmas Svix (svix-signature) que AgentMail manda. Cualquiera puede postear un mail inventado que entra directo a la sesión del agente y a su camino de respuesta: prompt injection sin siquiera tener que mandar un mail real. CVSS 8.6, corregido en 4.6.78 (hay un advisory gemelo, GHSA-qj9c-59p6-8cgx, para el mismo hueco).
AWS libera Strands Box, un sandbox open source para agentes en «modo YOLO»
AWS publicó Strands Box para contener agentes que aprueban cada acción sin revisión humana. Combina aislamiento a nivel de SO (containers y microVMs) con un motor de políticas con memoria temporal (Dogwood Local Engine), que evalúa no solo lo que el agente quiere hacer sino lo que ya hizo, por ejemplo «no más de tres posts a Slack cada diez minutos». Strands Shell y Monty para Python exponen borrados de archivos y requests de API al mismo motor. Por ahora solo corre en macOS; Linux está en desarrollo.
CVE-2026-76286: Splunk MCP Server mandaba el token del usuario a la URL de tools custom ajenas
En Splunk MCP Server < 1.2.1, ejecutar una custom API tool enviaba el token de autenticación de Splunk de quien la corría a la URL configurada en la tool. Si otro usuario controla esa URL, captura el token y actúa como la víctima. Requiere el capability mcp_tool_execute y correr una tool configurada por otro. CVSS 5.3; actualizá a 1.2.1. Otro caso más de MCP como superficie de credenciales.
Tendencias Destacadas
La configuración es código: servidores MCP stdio en Langflow y _target_ en Hydra convierten un campo de config en RCE.
Los frameworks de agentes publican en lote: Langflow, PraisonAI y Docling sumaron más de 15 advisories en 72 horas.
Guardrails en modo solo-log no son guardrails: el default de PraisonAI dejaba pasar el jailbreak más conocido.
CVE-2026-105697: Langflow runs any command configured as an MCP stdio server (CVSS 9.9)
Before 1.10.3, Langflow's MCP stdio transport launched whatever command/args a user put in an MCP server configuration, with no allowlist and wrapped in bash -c "exec ...". Anyone who can reach Settings → MCP Servers (or POST/PATCH /api/v2/mcp/servers/{name}), or build a flow with the MCP Tools component, gets commands executed on the host as soon as Langflow tries to connect — even when the UI reports the server «failed to start». With the default LANGFLOW_AUTO_LOGIN=true, /api/v1/auto_login hands out a token without credentials, so an exposed instance is effectively unauthenticated RCE. Affects langflow 1.1.2–1.10.2, langflow-base < 0.10.3 and lfx < 1.10.3. It is Langflow's third critical RCE in a week.
CVE-2026-62176: code injection in PraisonAI's deploy server generator (CVSS 9.1)
PraisonAI's deploy/api.py builds the server's Python code by interpolating the agents_file parameter straight into an f-string, writes it to disk and runs it via subprocess.Popen(). A value like "); import os; os.system("id"); # breaks out of the string and injects arbitrary code. Anyone controlling agents_file (CLI argument, configuration or an upstream API) gets code execution on the host. Affects PraisonAI ≤ 4.6.77; fixed in 4.6.78, shipped alongside four other advisories for the framework.
CVE-2026-106442 and CVE-2026-106439: Hydra's instantiate() blocklist bypassed again
Hydra, Meta's configuration framework that much of the model-training ecosystem relies on to resolve _target_, disclosed two bypasses of the blocklist it added for CVE-2026-68508. The first (CVSS 7.8) slips past it with wrappers such as timeit.timeit, pickle.loads or callable-returning helpers; fixed in 1.3.6. The second (CVSS v4 8.5) is subtler: because the blocklist lives in mutable module-level state, one sibling config node calls .discard() to remove an entry and the next instantiates the forbidden target; fixed in 1.3.7. The advisory itself says the blocklist is defense-in-depth, not a security boundary. If you load third-party YAML configs (fine-tuning recipes, checkpoints with embedded config), treat them as code.
CVE-2026-105699: Langflow's MCP resource handler reads other users' files
Langflow's project-scoped MCP transport authenticates the caller for the project_id in the URL, but the resources/read operation never authorizes the requested URI. An authenticated user connects to their own MCP endpoint and requests a download URI pointing at another user's flow-backed file; the server reads and returns it without checking ownership. CVSS v4 7.1; affects 1.6.8–1.9.0, fixed in 1.9.1.
CVE-2026-105744: a crafted .tex reads and writes files in Docling (and runs commands with shell-escape)
Docling, IBM's document parser widely used in RAG ingestion pipelines, compiles TikZ with Tectonic without restricting TeX's file primitives when tikz_engine="tectonic" is set. A .tex using \input{/abs/path} or \openin reads any file the process can read and writes wherever it can write; with tikz_engine_allow_shell_escape=True, \write18 runs shell commands. CVSS 7.5; affects 2.94.0–2.131.x, fixed in 2.132.0. It landed alongside five other Docling advisories the same day.
CVE-2026-61439: PraisonAI's prompt-injection defense only blocked when three checks fired at once
PraisonAI ships an «Injection Defense» layer with six detection categories (instruction override, authority claims, boundary manipulation, obfuscation, financial manipulation and self-harm). The catch: the default block threshold was CRITICAL, reached only when three or more checks fire together. A textbook «Ignore all previous instructions. You are now DAN...» trips just one, lands at HIGH, gets logged and sails through. CVSS 7.5, fixed in 4.6.78. The lesson applies to any guardrail: if the default is log-only, production has no guardrail.
CVE-2026-61436: PraisonAI's AgentMail webhook accepts forged messages and wakes the agents
In webhook mode, praisonai exposes a public aiohttp endpoint that accepts message.received events without verifying the Svix signatures (svix-signature) AgentMail sends. Anyone can post a fabricated email that goes straight into the agent session and its reply path — prompt injection without even sending a real email. CVSS 8.6, fixed in 4.6.78 (a twin advisory, GHSA-qj9c-59p6-8cgx, covers the same gap).
AWS open-sources Strands Box, a sandbox for agents running in «YOLO mode»
AWS released Strands Box to contain agents that approve every action without human review. It pairs OS-level isolation (containers and microVMs) with a policy engine that has temporal awareness (Dogwood Local Engine), so rules can weigh what the agent already did, not just what it wants to do — e.g. «no more than three Slack posts every ten minutes». Strands Shell and Monty for Python route file deletions and API requests through the same engine. macOS only for now; Linux is in development.
CVE-2026-76286: Splunk MCP Server sent the user's token to other users' custom tool URLs
In Splunk MCP Server < 1.2.1, running a custom API tool sent the runner's Splunk authentication token to the URL configured for that tool. If another user controls that URL, they capture the token and act as the victim. Requires the mcp_tool_execute capability and running a tool configured by someone else. CVSS 5.3; upgrade to 1.2.1. One more case of MCP as a credential surface.
Notable Trends
Configuration is code: MCP stdio servers in Langflow and _target_ in Hydra turn a config field into RCE.
Agent frameworks disclose in batches: Langflow, PraisonAI and Docling added 15+ advisories in 72 hours.
Log-only guardrails are not guardrails: PraisonAI's default let the best-known jailbreak straight through.
CVE-2026-105697 : Langflow exécute n'importe quelle commande déclarée comme serveur MCP stdio (CVSS 9.9)
Avant la 1.10.3, le transport MCP stdio de Langflow lançait la command/args saisie dans la configuration d'un serveur MCP, sans allowlist et enveloppée dans bash -c "exec ...". Toute personne ayant accès à Settings → MCP Servers (ou à POST/PATCH /api/v2/mcp/servers/{name}), ou pouvant construire un flow avec le composant MCP Tools, exécute des commandes sur l'hôte dès que Langflow tente de se connecter, même si l'UI indique un échec. Avec LANGFLOW_AUTO_LOGIN=true par défaut, /api/v1/auto_login délivre un jeton sans identifiants : une instance exposée devient une RCE non authentifiée. Corrigé en 1.10.3.
CVE-2026-62176 : injection de code dans le générateur de serveurs de déploiement de PraisonAI (CVSS 9.1)
Le module deploy/api.py de PraisonAI génère le code Python du serveur en interpolant le paramètre agents_file directement dans une f-string, l'écrit sur disque puis l'exécute via subprocess.Popen(). Une valeur comme "); import os; os.system("id"); # sort de la chaîne et injecte du code arbitraire. Affecte PraisonAI ≤ 4.6.77 ; corrigé en 4.6.78.
CVE-2026-106442 et CVE-2026-106439 : la blocklist instantiate() de Hydra de nouveau contournée
Hydra, le framework de configuration de Meta utilisé par une bonne partie de l'écosystème d'entraînement pour résoudre _target_, publie deux contournements de la blocklist ajoutée pour CVE-2026-68508. Le premier (CVSS 7.8) passe via timeit.timeit, pickle.loads ou des helpers renvoyant des callables ; corrigé en 1.3.6. Le second (CVSS v4 8.5) exploite l'état mutable du module : un nœud voisin appelle .discard() puis le suivant instancie la cible interdite ; corrigé en 1.3.7. Traitez toute config YAML tierce comme du code.
CVE-2026-105699 : le gestionnaire de ressources MCP de Langflow lit les fichiers d'autres utilisateurs
Le transport MCP par projet de Langflow authentifie l'appelant pour le project_id de l'URL, mais resources/read n'autorise pas l'URI demandée. Un utilisateur authentifié peut ainsi lire les fichiers des flows d'autres utilisateurs. CVSS v4 7.1 ; versions 1.6.8–1.9.0, corrigé en 1.9.1.
CVE-2026-105744 : un .tex piégé lit et écrit des fichiers dans Docling (et exécute des commandes avec shell-escape)
Docling, le parseur de documents d'IBM très utilisé dans les pipelines RAG, compile le TikZ avec Tectonic sans restreindre les primitives de fichiers de TeX lorsque tikz_engine="tectonic" est activé. Un .tex piégé lit et écrit des fichiers ; avec tikz_engine_allow_shell_escape=True, \write18 exécute des commandes. CVSS 7.5 ; corrigé en 2.132.0.
CVE-2026-61439 : la défense anti prompt injection de PraisonAI ne bloquait qu'avec trois détections simultanées
PraisonAI intègre une couche «Injection Defense» à six catégories de détection. Problème : le seuil de blocage par défaut était CRITICAL, atteint seulement si trois contrôles ou plus se déclenchent. Un classique «Ignore all previous instructions...» n'en déclenche qu'un, reste en HIGH, est journalisé et passe. CVSS 7.5, corrigé en 4.6.78.
CVE-2026-61436 : le webhook AgentMail de PraisonAI accepte des messages forgés et réveille les agents
En mode webhook, praisonai expose un endpoint aiohttp public qui accepte des événements message.received sans vérifier les signatures Svix d'AgentMail. N'importe qui peut injecter un faux e-mail directement dans la session de l'agent. CVSS 8.6, corrigé en 4.6.78.
AWS publie Strands Box, un bac à sable open source pour les agents en «mode YOLO»
AWS publie Strands Box pour encadrer les agents qui approuvent chaque action sans revue humaine. L'outil combine isolation au niveau OS (conteneurs et microVM) et un moteur de politiques à mémoire temporelle (Dogwood Local Engine) qui tient compte de ce que l'agent a déjà fait. macOS uniquement pour l'instant ; Linux en cours.
CVE-2026-76286 : Splunk MCP Server envoyait le jeton de l'utilisateur à l'URL d'outils tiers
Dans Splunk MCP Server < 1.2.1, l'exécution d'un outil API personnalisé envoyait le jeton Splunk de l'utilisateur à l'URL configurée pour cet outil, potentiellement contrôlée par un autre utilisateur. CVSS 5.3 ; corrigé en 1.2.1.
Tendances Notables
La configuration, c'est du code : serveurs MCP stdio dans Langflow et _target_ dans Hydra transforment un champ de config en RCE.
Les frameworks d'agents publient par lots : Langflow, PraisonAI et Docling cumulent plus de 15 advisories en 72 heures.
Un garde-fou en mode journalisation seule n'en est pas un : le défaut de PraisonAI laissait passer le jailbreak le plus connu.