Автологин в Langflow открывает путь к эксплуатации CVE-2026-105740

Исследователи Previdian показали, что включённый LANGFLOW_AUTO_LOGIN позволяет получить сессию без пароля и добраться до уязвимости CVE-2026-105740. В ханипоте атакующий получил 403 на /api/v1/auto_login, но вошёл с типовыми логином и паролем. ZoomEye нашёл 19 181 инсталляцию Langflow.

• LANGFLOW_AUTO_LOGIN=false закрывает выдачу сессии без входа
• В ханипоте вход прошёл с распространёнными логином и паролем
• ZoomEye: 19 181 инсталляция Langflow с сигнатурой app="Langflow"
• Рекомендуется сменить LANGFLOW_SECRET_KEY и пароль суперпользователя