zoly-zoly/cve-2025-3248تحليل تعليمي واستغلال إثبات المفهوم لـ CVE-2025-3248، وهي ثغرة حرجة لحقن الأكواد دون مصادقة في Langflow، بما في ذلك إرشادات التخفيف.
مرجع تعليمي وتحليل دفاعي لـ CVE-2025-3248، وهي ثغرة حقن أكواد حرجة تؤثر على Langflow.
/api/v1/validate/codeLangflow هو إطار عمل مرئي مفتوح المصدر لبناء تطبيقات متعددة الوكلاء وتطبيقات RAG. ولتمكين المطورين من كتابة مكوّنات Python مخصصة، فإنه يوفر منطقًا للتحقق من مقتطفات الأكواد وتنفيذها أثناء التشغيل.
/api/v1/validate/code سلاسل أكواد Python من طلبات المستخدمين.exec() أو مُقيّمات وقت تشغيل مماثلة) دون عزل كافٍ أو تنقية للمدخلات أو تقييد للتنفيذ.وبناءً على ذلك، يمكن للمهاجم تزويد حِزم تنفيذ نظام Python (مثل استخدام وحدات os أو subprocess) لتنفيذ أوامر عشوائية تحت امتيازات النظام الخاصة بمشغّل خدمة Langflow.
إذا كنت تشغّل أو تدير نسخًا من Langflow، فطبّق الضوابط التالية:
تمت معالجة الثغرة في إصدار Langflow 1.3.0 وما بعده. تأكد من تحديث خطوط أنابيب النشر لديك:
pip install --upgrade langflow
إذا كنت تشغّل Langflow داخل Docker أو Kubernetes:
root.تُصان هذه الوثائق حصريًا لأغراض تقييم الأمن المصرّح به، وتحصين الدفاعات، والأغراض التعليمية. تأكد من أن جميع الاختبارات مقتصرة على بيئات مختبرية مستضافة ذاتيًا ومصرّح بها.
للعثور على أهداف محتملة، استخدم Fofa وShodan.io
أولًا، استنسخ المستودع:
git clone https://github.com/zoly-zoly/CVE-2025-3248.git
شغّل الاستغلال:
python3 CVE-2025-3248.py --target http://IP:Port --cmd "Command"