CVE-2025-3248 — Langflow AI Remote Code Execution (Nicht authentifiziert)

Autor: 0xgh057r3c0n

Beschreibung

Dieser Exploit zielt auf eine kritische, nicht authentifizierte RCE-Schwachstelle (CVE-2025-3248) in Langflow AI ab. Die Schwachstelle ermöglicht es einem Angreifer, beliebige Systembefehle auf dem Zielserver über den Endpunkt /api/v1/validate/code auszuführen.

Dieses Proof-of-Concept (PoC)-Tool stellt eine interaktive Shell zum Testen und Demonstrieren des Problems bereit.

Voraussetzungen

• Python 3.8 oder neuer
• pip3 zum Installieren von Abhängigkeiten

Installation

1. Repository klonen

git clone https://github.com/yourusername/CVE-2025-3248.git
cd CVE-2025-3248

2. Python-Abhängigkeiten installieren

pip3 install -r requirements.txt

Verwendung

python3 CVE-2025-3248.py -u http://TARGET_HOST:PORT

Beispiel

python3 CVE-2025-3248.py -u http://127.0.0.1:7860

Sie werden mit einer interaktiven Shell begrüßt:

0xgh057r3c0n@root💀$ whoami
langflow

0xgh057r3c0n@root💀$ uname -a
Linux ubuntu 5.15.0-89-generic #99~20.04.1-Ubuntu SMP ...

• Zum Beenden: exit oder quit eingeben
• Unterstützt typische Linux/Unix-Shell-Befehle

Hinweise

• SSL-Verifizierung ist deaktiviert (nützlich zum Testen selbstsignierter Zertifikate)
• Dieses PoC ist nur für Bildungs- und autorisierte Testzwecke bestimmt

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die LICENSE-Datei für Details.

Haftungsausschluss

Diese Software wird ausschließlich zu Bildungs- und Forschungszwecken bereitgestellt. Der Autor übernimmt keine Haftung für Missbrauch dieses Codes. Verwenden Sie das Tool nur auf Systemen, die Ihnen gehören oder für die Sie explizite Testberechtigung haben.