mitsec - CVE-2025-3248 Langflow RCE Exploit

أداة استغلال لتنفيذ الأوامر عن بُعد (RCE) لتطبيقات Langflow المعرضة للثغرة CVE-2025-3248.

النقطة المتأثرة: /api/v1/validate/code

🚀 ميزات الاستغلال

• RCE عن بُعد بدون مصادقة
• لا يتطلب مصادقة
• سكربت Python3 بسطر واحد
• إخراج طرفية ملونة

🔧 الاستخدام

python3 mitsec.py -u http://target:7860 -c "id"

🧪 مثال على الإخراج

[+] Command Output:
uid=1001(langflow) gid=1001(langflow) groups=1001(langflow)

🧠 تفاصيل الثغرة CVE

• CVE: CVE-2025-3248
• النوع: تنفيذ الأوامر عن بُعد (RCE)
• المكون: الواجهة الخلفية لـ Langflow
• الشرط: سوء استخدام الدالة الديناميكية exec() في مسار كود يتحكم به المستخدم

📌 دالة ZoomEye البحثية

app="Langflow"

🧑‍💻 المؤلف

• تويتر: @ynsmroztas
• جيتهاب: @ynsmroztas

📜 إخلاء مسؤولية

هذه الأداة مخصصة لأغراض الاختبارات الأمنية التعليمية والمرخصة فقط. الاستخدام غير المصرح به محظور.