AI编码
dev.to ·
@Franchesco Romero
加固 MCP stdio 服务器：从 Langflow 高危漏洞谈起
文章分析 Langflow 的 CVE-2026-105740（CVSS 9.9）：任意已认证用户可注册 stdio 类型 MCP 服务器，其 command 被直接拼入 bash -c 执行，且无命令白名单或黑名单，用户 env 也会合并进子进程环境。作者讨论真正有效的修复方式，并审计一台运行 Claude Code 的开发机，发现一条指向无人维护 npm scope 的 npx 命令。
AI推荐理由 围绕 Langflow 的 CVE-2026-105740（CVSS 9.9）分析 MCP stdio 服务器命令注入风险，并给出加固思路与开发机审计发现；涉及具体漏洞编号和 advisory，对 Agent 工具链安全有实际参考价值，但摘要未展开修复细节。
66
正文
当前仅保存了标题或简介；并非所有来源都提供正文，可通过下方原文链接查看。