CVE-2026-33017 — قالب Nuclei لثغرة RCE غير مُصادَق عليها في Langflow

قالب Nuclei يكتشف CVE-2026-33017 — ثغرة تنفيذ برمجيات عن بُعد غير مُصادَق عليها في Langflow ≤ 1.8.2 يمكن الوصول إليها عبر نقطة نهاية بناء التدفق العامة:

POST /api/v1/build_public_tmp/{flow_id}/flow

يقبل المعالج المعرَّض للثغرة مخطط تدفق data مُتحكَّمًا فيه من المهاجم، ويمرّر data.nodes[].data.node.template.code.value مباشرةً إلى exec() الخاصة بـ Python أثناء بناء المخطط، دون أي عزل (sandboxing). يُسقط الإصلاح (≥ 1.9.0) معامل data من توقيع المعالج، لذا يرفض البناء المُصحَّح الطلب نفسه في طبقة التحقق من FastAPI برمز HTTP 422.

كيف يقرر القالب

القالب غير مُدمِّر. يرسل حمولة خاملة ضد معرّف تدفق UUID صفري، لذا لا يمكنه الوصول إلى exec() حتى على مضيف معرَّض للثغرة. وهو يميِّز المعالج المعرَّض من المُصحَّح من خلال توقيع استجابة HTTP وحده.

توجيه المرحلة 2:

لا يزال تأكيد RCE الفعلي يتطلب (أ) معرّف تدفق PUBLIC حقيقي على الهدف و(ب) استدعاءً خارج النطاق (out-of-band) (DNS/HTTP). هذه الخطوة غير مضمّنة هنا عمدًا — هذا القالب هو الفحص المسبق الآمن الذي يقرر ما إذا كان تشغيل استغلال نشط منطقيًا من الأساس.

الاستخدام

مضيف واحد:

nuclei -t CVE-2026-33017.yaml -u https://target.example.com

فحص شامل من قائمة:

nuclei -t CVE-2026-33017.yaml -l targets.txt -rl 20 -c 10

مع مخرجات التصحيح (لمشاهدة الطلبات/الاستجابات الخام):

nuclei -t CVE-2026-33017.yaml -u https://target.example.com -debug-req -debug-resp

تحقق من القالب محليًا قبل تشغيله:

nuclei -validate -t CVE-2026-33017.yaml

مثال على المخرجات

هدف معرَّض للثغرة:

[CVE-2026-33017] [http] [critical] https://target.example.com [vulnerable-flow-not-found] ["1.8.2","base"]

هدف مُصحَّح — لا يُصدَر أي اكتشاف (استجابة 422 لا تطابق أي قاعدة).

العثور على الأهداف المحتملة

استعلامات اكتشاف شائعة لمضيفات Langflow (استخدمها فقط ضد الأصول المصرَّح لك باختبارها):

• Shodan: http.title:"Langflow"
• FOFA: app="Langflow"
• Google: intitle:"Langflow" inurl:"/flows"

تفاصيل الثغرة

• CVE: CVE-2026-33017
• CWE: CWE-94 (التحكم غير السليم في توليد الكود)
• CVSS 3.1: 9.3 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• المتأثر: Langflow ≤ 1.8.2
• الإصلاح في: Langflow ≥ 1.9.0
• ناقل الهجوم: شبكة، غير مُصادَق عليه، دون تفاعل من المستخدم
• الأثر: تنفيذ برمجيات عن بُعد بصلاحيات مستخدم عملية Langflow

السبب الجذري (باختصار)

في البناءات المعرَّضة للثغرة، يُصرَّح عن المعالج العام تقريبًا كما يلي:

@router.post("/build_public_tmp/{flow_id}/flow")
async def build_public_flow(flow_id: UUID, data: FlowDataRequest | None = None, ...):
    ...
    await verify_public_flow_and_get_user(flow_id, ...)
    ...
    # data.nodes[].data.node.template.code.value reaches exec() in the
    # Component build path

حقل data مُتحكَّم فيه من المهاجم. يزيل المعالج المُصحَّح المعامل تمامًا ويُجبر data=None، وهذا هو السبب في أن الطلب الذي يتضمن حقل data في النص يُرفض برمز 422 على البناءات المُصحَّحة.

المعالجة

1. قم بترقية Langflow إلى ≥ 1.9.0.
2. إذا لم تتمكن من الترقية فورًا، احظر /api/v1/build_public_tmp/ عند الخادم الوكيل العكسي (reverse proxy).
3. اضبط LANGFLOW_AUTO_LOGIN=False، وقم بإعداد بيانات اعتماد المستخدم الفائق (superuser)، وبدّل LANGFLOW_SECRET_KEY.
4. دقّق التدفقات الحالية — تدفقات access_type=PUBLIC هي التي سيستهدفها المهاجم في الرابط.

المراجع

• إشعار GitHub الأمني: https://github.com/advisories/GHSA-vwmf-pq79-vjvx
• تقرير SonicWall: https://www.sonicwall.com/pt-br/blog/langflow-ai-code-injection-to-rce-flaw
• كود المعالج المُصحَّح: https://github.com/langflow-ai/langflow/blob/main/src/backend/base/langflow/api/v1/chat.py

الجانب القانوني والإفصاح

هذا القالب منشور لأغراض الأمن الدفاعي والاختبار المصرَّح به فقط. تشغيله ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها غير قانوني في معظم الولايات القضائية وينتهك شروط خدمة المنصات.

باستخدامك لهذا القالب فإنك توافق على أن:

• ستقوم فقط بفحص الأصول التي تملكها أو المصرَّح لك صراحةً باختبارها (نطاق مكافآت اكتشاف الثغرات، عقد اختبار اختراق مُوقَّع، جرد الأصول الداخلية).
• المؤلف غير مسؤول عن سوء الاستخدام.
• يُقدَّم القالب كما هو (as-is)، دون أي ضمان.

المؤلف

lopseg — https://github.com/lopseg

طلبات السحب (Pull requests) والقضايا (issues) مرحّب بها.

الرخصة

MIT