z4yd3/poc-cve-2026-33017Proof-of-concept-Exploit für CVE-2026-33017, der eine nicht authentifizierte Remote-Codeausführung in Langflow-Versionen vor 1.8.2 über den build_public_tmp-API-Endpunkt demonstriert.
Eine kritische Code-Injection-Schwachstelle in Langflow ermöglicht es einem nicht authentifizierten Remote-Angreifer, beliebigen Python-Code auf dem Server auszuführen. Die Schwachstelle befindet sich im POST-Endpunkt /api/v1/build_public_tmp/{flow_id}/flow. Obwohl dieser Endpunkt dazu gedacht ist, nicht authentifizierten Benutzern das Erstellen von „öffentlichen Flows“ zu ermöglichen, verarbeitet er fälschlicherweise einen optionalen Datenparameter. Wenn dieser Parameter bereitgestellt wird, führt Langflow angreiferkontrollierte Flow-Definitionen aus, die beliebigen Python-Code enthalten, mithilfe der Funktion exec() ohne jegliche Sandboxing- oder Validierungsmaßnahmen.
Dieser Proof-of-Concept demonstriert nicht authentifizierte Remote-Code-Ausführung (RCE) in Langflow-Versionen vor 1.8.2. Die Schwachstelle besteht aufgrund der Bereitschaft der Anwendung, rohen Python-Code zu akzeptieren und auszuführen, der innerhalb einer „Custom Component“-Vorlage über den build_public_tmp-API-Endpunkt bereitgestellt wird.
GETESTET AUF LANGFLOW 1.8.2
Usage: python3 script.py <url>
CVE-2026-33017 (MITRE): https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-33017
NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2026-33017
Langflow GitHub Security Advisory: https://github.com/langflow-ai/langflow/security/advisories/GHSA-vwmf-pq79-vjvx