CVE-2026-33017 — Langflow Unauthenticated RCE Nuclei Template

Nuclei-Vorlage, die CVE-2026-33017 erkennt — eine nicht authentifizierte Remote-Code-Ausführungs-Schwachstelle in Langflow ≤ 1.8.2, die über den öffentlichen flow-build-Endpunkt erreichbar ist:

POST /api/v1/build_public_tmp/{flow_id}/flow

Der angreifbare Handler akzeptiert ein angreifergesteuertes data-Flussdiagramm und übergibt data.nodes[].data.node.template.code.value während des Diagrammbaus direkt an Python exec(), ohne Sandboxing. Der Fix (≥ 1.9.0) entfernt den data-Parameter aus der Handler-Signatur, sodass ein gepatchter Build dieselbe Anfrage auf der FastAPI-Validierungsebene mit HTTP 422 ablehnt.

Wie die Vorlage entscheidet

Die Vorlage ist nicht destruktiv. Sie sendet eine inerte Nutzlast gegen eine Null-UUID-Flow-ID, sodass sie selbst auf einem anfälligen Host nicht exec() erreichen kann. Sie unterscheidet den anfälligen Handler vom gepatchten allein durch die HTTP-Antwortsignatur.

Routing für Stufe 2:

Eine echte RCE-Bestätigung erfordert (a) eine echte PUBLIC-Flow-UUID auf dem Ziel und (b) einen Out-of-Band-Callback (DNS/HTTP). Dieser Schritt ist absichtlich nicht enthalten – diese Vorlage ist die sichere Vorprüfung, die entscheidet, ob die Durchführung eines aktiven Exploits überhaupt sinnvoll ist.

Verwendung

Einzelner Host:

nuclei -t CVE-2026-33017.yaml -u https://target.example.com

Massenscan aus einer Liste:

nuclei -t CVE-2026-33017.yaml -l targets.txt -rl 20 -c 10

Mit Debug-Ausgabe (siehe die rohen Anfragen/Antworten):

nuclei -t CVE-2026-33017.yaml -u https://target.example.com -debug-req -debug-resp

Vorlage lokal validieren, bevor Sie sie ausführen:

nuclei -validate -t CVE-2026-33017.yaml

Beispielausgabe

Vulnerable target:

[CVE-2026-33017] [http] [critical] https://target.example.com [vulnerable-flow-not-found] ["1.8.2","base"]

Gepatchtes Ziel – kein Finding ausgegeben (422-Antwort stimmt mit keiner Regel überein).

Kandidaten finden

Häufige Suchanfragen für Langflow-Hosts (nur gegen Vermögenswerte verwenden, für die Sie autorisiert sind, Tests durchzuführen):

• Shodan: http.title:"Langflow"
• FOFA: app="Langflow"
• Google: intitle:"Langflow" inurl:"/flows"

Schwachstellendetails

• CVE: CVE-2026-33017
• CWE: CWE-94 (Improper Control of Generation of Code)
• CVSS 3.1: 9.3 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Betroffen: Langflow ≤ 1.8.2
• Behoben in: Langflow ≥ 1.9.0
• Angriffsvektor: Netzwerk, nicht authentifiziert, keine Benutzerinteraktion
• Auswirkung: Remote-Codeausführung als Benutzer des Langflow-Prozesses

Ursache (kurz)

In anfälligen Builds wird der öffentliche Handler ungefähr wie folgt deklariert:

@router.post("/build_public_tmp/{flow_id}/flow")
async def build_public_flow(flow_id: UUID, data: FlowDataRequest | None = None, ...):
    ...
    await verify_public_flow_and_get_user(flow_id, ...)
    ...
    # data.nodes[].data.node.template.code.value reaches exec() in the
    # Component build path

data wird vom Angreifer kontrolliert. Der gepatchte Handler entfernt den Parameter vollständig und erzwingt data=None, weshalb eine Anfrage, die ein data-Body-Feld enthält, auf gepatchten Builds mit 422 abgelehnt wird.

Abhilfe

1. Aktualisieren Sie Langflow auf ≥ 1.9.0.
2. Wenn Sie nicht sofort aktualisieren können, blockieren Sie /api/v1/build_public_tmp/ am Reverse-Proxy.
3. Setzen Sie LANGFLOW_AUTO_LOGIN=False, konfigurieren Sie Superuser-Anmeldedaten und rotieren Sie LANGFLOW_SECRET_KEY.
4. Überprüfen Sie vorhandene Flows — access_type=PUBLIC-Flows sind diejenigen, die ein Angreifer in der URL anvisieren würde.

Referenzen

• GitHub Advisory: https://github.com/advisories/GHSA-vwmf-pq79-vjvx
• SonicWall write-up: https://www.sonicwall.com/pt-br/blog/langflow-ai-code-injection-to-rce-flaw
• Patched handler source: https://github.com/langflow-ai/langflow/blob/main/src/backend/base/langflow/api/v1/chat.py

Rechtliches & Offenlegung

Diese Vorlage wird nur für defensive Sicherheit und autorisierte Tests veröffentlicht. Die Ausführung gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben, ist in den meisten Rechtsordnungen illegal und verstößt gegen die Nutzungsbedingungen der Plattform.

Durch die Nutzung dieser Vorlage stimmen Sie zu, dass:

• Sie nur Vermögenswerte scannen, die Sie besitzen oder für die Sie ausdrücklich autorisiert sind, sie zu testen (Bug-Bounty-Umfang, unterzeichneter Pentest-Auftrag, internes Asset-Inventar).
• Der Autor ist nicht verantwortlich für Missbrauch.
• Die Vorlage wird wie besehen ohne Gewährleistung bereitgestellt.

Autor

lopseg — https://github.com/lopseg

Pull-Requests und Issues sind willkommen.

Lizenz

MIT