Aktywnie wykorzystywana w atakach
Langflow Origin Validation Error Vulnerability
Langflow - Langflow · Figuruje w katalogu CISA KEV od 2026-05-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-34291
WysokieCVSS 8.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność w Langflow w wersjach do 1.6.9 umożliwia przejęcie konta i zdalne wykonanie kodu. Zbyt liberalna konfiguracja CORS (allow_origins='*' z allow_credentials=True) oraz ciasteczko odświeżające token ustawione jako SameSite=None pozwalają złośliwej stronie na wykonanie żądań międzyoriginowych z uwierzytelnieniem i wywołanie endpointu odświeżania tokena. Atakujący może uzyskać nowe pary access_token/refresh_token dla sesji ofiary, a następnie wykorzystać je do wykonania dowolnego kodu i pełnego przejęcia systemu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kont użytkowników oraz zdalne wykonanie kodu na serwerze, co może prowadzić do kradzieży danych, przerwania działania usług i dalszej eskalacji ataku w infrastrukturze.
Rekomendacja
Należy natychmiast zaktualizować Langflow do wersji 1.6.10 lub nowszej, która zawiera poprawkę. Dodatkowo, w konfiguracji CORS należy ograniczyć dozwolone originy i ustawić SameSite na Lax lub Strict dla ciasteczek uwierzytelniających.
Inne podatności w Langflow
Zobacz wszystkie- CVE-2026-105740Krytyczne
Langflow przed wersją 1.9.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu (RCE) na serwerze poprzez dodanie serwera MCP z transportem "Stdio". Pole komendy jest przekazywane bezpośrednio do bash -c "exec {command}" bez walidacji, listy dozwolonych komend ani sandboxa. Komenda wykonuje się natychmiast po pobraniu listy serwerów. Dodatkowo pole env pozwala na wstrzyknięcie dowolnych zmiennych środowiskowych (np. LD_PRELOAD, PATH).
- CVE-2026-105697Krytyczne
Langflow przed wersją 1.10.3 uruchamia dowolne polecenia/argumenty podane przez użytkownika w konfiguracji serwera MCP, bez listy dozwolonych i (przed 1.10.3) owinięte w bash -c "exec {command} ...". Każdy użytkownik mający dostęp do ustawień MCP lub budujący przepływ z komponentem MCP Tools może dodać "serwer" z dowolnym poleceniem OS. Polecenie wykonuje się na hoście Langflow jako proces użytkownika Langflow przy próbie połączenia z serwerem. Przy domyślnym LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login wydaje token bez poświadczeń, więc na wystawionej instancji z domyślną konfiguracją jest to osiągalne bez konta. Z wyłączonym AUTO_LOGIN, każdy uwierzytelniony (nie-admin) użytkownik może to wykorzystać.
- CVE-2026-51886Krytyczne
Podatność typu Code Injection w langflow do wersji 1.9.3. Uwierzytelniony atakujący może wykonać dowolny kod Python na serwerze, wysyłając złośliwy kod do endpointu /api/v1/validate/code, który wykonuje kod bez sandboxa.
- CVE-2026-55450Krytyczne
Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy opartych na AI. W wersjach przed 1.9.1, nieautoryzowani użytkownicy mogą przesyłać nieograniczoną ilość danych na serwer, co prowadzi do wyczerpania przestrzeni dyskowej. Dodatkowo, odpowiedź serwera ujawnia absolutną ścieżkę przesłanego pliku, co stanowi wyciek informacji.
- CVE-2026-55255WysokieAktywnie exploitowane
W Langflow przed wersją 1.9.1 wykryto podatność IDOR w punkcie końcowym /api/v1/responses. Uwierzytelniony atakujący może uruchomić dowolny przepływ należący do innego użytkownika, podając jego identyfikator w żądaniu.
- CVE-2026-42048Krytyczne
Langflow, narzędzie do budowania i wdrażania agentów AI, przed wersją 1.9.0 jest podatne na atak typu Path Traversal w API Baz Wiedzy (DELETE /api/v1/knowledge_bases). Atakujący może wykorzystać tę lukę do usunięcia dowolnych katalogów na serwerze.
- CVE-2026-33017KrytyczneAktywnie exploitowane
Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów opartych na AI. W wersjach przed 1.9.0, punkt końcowy POST /api/v1/build_public_tmp/{flow_id}/flow pozwalał na budowanie publicznych przepływów bez wymogu uwierzytelnienia, co prowadziło do możliwości zdalnego wykonania kodu przez nieautoryzowanych użytkowników.
- CVE-2026-0770KrytyczneAktywnie exploitowane
Podatność w Langflow umożliwia zdalne wykonanie kodu poprzez parametr exec_globals w endpoint validate. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy kod z niezaufanego źródła.
- CVE-2026-21445Krytyczne
Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.
- CVE-2025-68478Wysokie
Langflow przed wersją 1.7.0 pozwala na podanie dowolnej ścieżki w polu fs_path w treści żądania, co powoduje serializację obiektu Flow do JSON i utworzenie lub nadpisanie pliku pod tą ścieżką. Brak ograniczeń ścieżki, normalizacji lub wymuszania dozwolonego katalogu sprawia, że ścieżki absolutne (np. /etc/poc.txt) są interpretowane bez zmian.
Oryginalny opis (angielski, źródło NVD)
Langflow versions up to and including 1.6.9 contain a chained vulnerability that enables account takeover and remote code execution. An overly permissive CORS configuration (allow_origins='*' with allow_credentials=True) combined with a refresh token cookie configured as SameSite=None allows a malicious webpage to perform cross-origin requests that include credentials and successfully call the refresh endpoint. An attacker-controlled origin can therefore obtain fresh access_token / refresh_token pairs for a victim session. Obtained tokens permit access to authenticated endpoints — including built-in code-execution functionality — allowing the attacker to execute arbitrary code and achieve full system compromise.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS