Langflow dient dem Erstellen und Betreiben von KI-gestützten Agenten und Workflows. Beim sogenannten MCP-stdio-Transport startet Langflow genau den Befehl samt Argumenten, den ein Nutzer in der Konfiguration eines MCP-Servers hinterlegt – ohne Prüfung gegen eine Positivliste und über eine Shell ausgeführt. Wer also die MCP-Server-Einstellungen erreichen oder einen Flow mit der MCP-Tools-Komponente bauen kann, trägt als vermeintlichen Server einen beliebigen Betriebssystembefehl ein, etwa das Löschen von Dateien oder eine Reverse Shell. Der Befehl läuft auf dem Langflow-Host mit den Rechten des Langflow-Prozesses, sobald die Anwendung eine Verbindung zu diesem Server aufzunehmen versucht – beim Auflisten der Server, beim Laden der Werkzeuge oder beim Ausführen des Flows. Das geschieht auch dann, wenn die Oberfläche anschließend meldet, der Server sei nicht gestartet. Ist die standardmäßig aktive automatische Anmeldung eingeschaltet, gibt die Anwendung ohne Zugangsdaten ein Token aus; eine aus dem Netz erreichbare Standardinstallation ist damit ganz ohne Konto angreifbar. Ist diese Entwicklungseinstellung deaktiviert, genügt ein beliebiges angemeldetes Konto ohne Administratorrechte.