Podatności Langflow

Langflow przed wersją 1.9.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu (RCE) na serwerze poprzez dodanie serwera MCP z transportem "Stdio". Pole komendy jest przekazywane bezpośrednio do bash -c "exec {command}" bez walidacji, listy dozwolonych komend ani sandboxa. Komenda wykonuje się natychmiast po pobraniu listy serwerów. Dodatkowo pole env pozwala na wstrzyknięcie dowolnych zmiennych środowiskowych (np. LD_PRELOAD, PATH).

Langflow przed wersją 1.10.3 uruchamia dowolne polecenia/argumenty podane przez użytkownika w konfiguracji serwera MCP, bez listy dozwolonych i (przed 1.10.3) owinięte w bash -c "exec {command} ...". Każdy użytkownik mający dostęp do ustawień MCP lub budujący przepływ z komponentem MCP Tools może dodać "serwer" z dowolnym poleceniem OS. Polecenie wykonuje się na hoście Langflow jako proces użytkownika Langflow przy próbie połączenia z serwerem. Przy domyślnym LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login wydaje token bez poświadczeń, więc na wystawionej instancji z domyślną konfiguracją jest to osiągalne bez konta. Z wyłączonym AUTO_LOGIN, każdy uwierzytelniony (nie-admin) użytkownik może to wykorzystać.

Podatność typu Code Injection w langflow do wersji 1.9.3. Uwierzytelniony atakujący może wykonać dowolny kod Python na serwerze, wysyłając złośliwy kod do endpointu /api/v1/validate/code, który wykonuje kod bez sandboxa.

Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy opartych na AI. W wersjach przed 1.9.1, nieautoryzowani użytkownicy mogą przesyłać nieograniczoną ilość danych na serwer, co prowadzi do wyczerpania przestrzeni dyskowej. Dodatkowo, odpowiedź serwera ujawnia absolutną ścieżkę przesłanego pliku, co stanowi wyciek informacji.

Langflow, narzędzie do budowania i wdrażania agentów AI, przed wersją 1.9.0 jest podatne na atak typu Path Traversal w API Baz Wiedzy (DELETE /api/v1/knowledge_bases). Atakujący może wykorzystać tę lukę do usunięcia dowolnych katalogów na serwerze.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.

Langflow przed wersją 1.7.0 pozwala na podanie dowolnej ścieżki w polu fs_path w treści żądania, co powoduje serializację obiektu Flow do JSON i utworzenie lub nadpisanie pliku pod tą ścieżką. Brak ograniczeń ścieżki, normalizacji lub wymuszania dozwolonego katalogu sprawia, że ścieżki absolutne (np. /etc/poc.txt) są interpretowane bez zmian.

Langflow przed wersją 1.7.0 udostępnia komponent API Request, który wykonuje dowolne żądania HTTP w ramach przepływu. Komponent przyjmuje URL od użytkownika, wykonuje jedynie normalizację i podstawowe sprawdzenie formatu, a następnie wysyła żądanie przez serwerowy klient httpx, nie blokując prywatnych zakresów IP ani punktów końcowych metadanych chmurowych. Umożliwia to atak nieślepego SSRF, ponieważ punkty końcowe uruchamiania przepływu można wywołać samym kluczem API.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów AI. Od wersji 1.5.0 do 1.10.3 podatność na fałszowanie adresu IP w punkcie końcowym instalacji konfiguracji Model Context Protocol (MCP) (POST /api/v1/mcp/project/{project_id}/install) pozwalała uwierzytelnionym zdalnym atakującym obejść ograniczenie dostępu „tylko lokalnie”. Poprzez wysłanie sfałszowanego nagłówka X-Forwarded-For: 127.0.0.1 atakujący mógł sprawić, że serwer potraktuje żądanie jako pochodzące z localhost, umożliwiając zapis lub nadpisanie pliku konfiguracyjnego klienta MCP w systemie plików serwera.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów AI. Od wersji 1.6.8 do 1.9.1 Langflow uwierzytelniał dostęp do identyfikatora projektu w połączeniu MCP o zasięgu projektu, ale nie autoryzował URI zasobu przekazanego do resources/read. Funkcja read_resource przekazywała kontrolowany przez atakującego URI do handle_read_resource, który parsował flow_id i nazwę pliku oraz wywoływał storage_service.get_file bez weryfikacji, czy przepływ należy do uwierzytelnionego użytkownika lub bieżącego projektu. Użytkownik z dostępem do dowolnego punktu końcowego MCP o zasięgu projektu mógł zatem zażądać pliku innego użytkownika powiązanego z przepływem, a globalne funkcje handle_list_resources i handle_list_tools mogły ujawniać identyfikatory przepływów i plików, co ułatwiało atak.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Od wersji 1.0.0 do 1.10.1, Langflow nie weryfikował własności przepływu w przestarzałych procedurach obsługi POST /api/v1/build/{flow_id}/vertices i POST /api/v1/build/{flow_id}/vertices/{vertex_id}. Do wersji 1.7.1 nieuwierzytelniony wywołujący, który znał UUID przepływu innego użytkownika, mógł dotrzeć do tych procedur; od wersji 1.7.2 do 1.10.0 wywołujący musieli się uwierzytelnić, ale nie potrzebowali podwyższonych uprawnień. Taki wywołujący mógł spowodować, że retrieve_vertices_order załaduje i zapisze w pamięci podręcznej prywatny graf, wyliczy jego identyfikatory wierzchołków i użyje build_vertex do wykonania wybranych wierzchołków i otrzymania ich wyników. build_graph_from_db_no_cache wykonywał wyszukiwanie klucza podstawowego bez filtra właściciela. Mogło to ujawnić prywatną strukturę przepływu, skonfigurowane wartości i wybrane wyniki oraz wywołać skutki uboczne skonfigurowane przez ofiarę i rekordy historii budowania, chociaż nie ujawniało poświadczeń magazynu zmiennych ofiary ani nie pozwalało na modyfikację zapisanego przepływu. Problem został naprawiony w Langflow 1.10.1 i langflow-base 0.10.1.

Podatność typu Directory Traversal w langflow do wersji 1.8.4. Poprzez endpoint tworzenia bazy wiedzy atakujący może zapisywać lub nadpisywać pliki poza zamierzonym katalogiem roboczym, używając ścieżek bezwzględnych.

Langflow 1.0.16 przed 1.12.0 i 0.0.94 przed 1.12.0 zawiera niebezpieczną funkcję eval() w schema.py, która pozwala uwierzytelnionym atakującym na wykonanie kodu poprzez umieszczenie obiektu Pythona ze złośliwą metodą __repr__ w listach opcji wejściowych komponentu.

Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy zasilanych sztuczną inteligencją. Przed wersją 1.0.19, atakujący mógł wysłać żądanie /api/v1/files/upload/ bez tokena uwierzytelniającego lub ciasteczek, co prowadziło do zablokowania aplikacji langflow dla wszystkich użytkowników na czas nieokreślony.

Langflow to narzędzie do budowania i wdrażania agentów oraz przepływów pracy zasilanych sztuczną inteligencją. W wersjach przed 1.7.0 przycisk wylogowania nie usuwał sesji, co powodowało, że poprzedni użytkownik pozostawał zalogowany, chyba że inny użytkownik zalogował się explicite.

W projekcie langflow-ai langflow do wersji 1.10.2 stwierdzono podatność na wstrzykiwanie kodu w funkcji eval pliku src/lfx/src/lfx/components/llm_operations/lambda_filter.py w komponencie LambdaFilterComponent. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W langflow-ai langflow do wersji 1.8.3 wykryto podatność w komponencie renderowania React (plik edit-message.tsx). Manipulacja danymi wejściowymi może prowadzić do cross-site scripting (XSS). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

Langflow przed wersją 1.5.1 zawiera podatność w helperze _read_flow w pliku src/backend/base/langflow/api/v1/flows.py, gdzie przy włączonym uwierzytelnianiu (AUTO_LOGIN False) brakowało sprawdzania właściciela. Uwierzytelniony użytkownik mógł odczytać, zmodyfikować lub usunąć przepływy innych użytkowników, w tym osadzone klucze API.