CVE-2026-33017 — # Laboratoire pédagogique démontrant une RCE non authentifiée dans Langflow via CVE-2026-33017, avec configuration automatisée de machine virtuelle et un exploit PoC pour un shell inversé. | Kitploit

┌─────────────────────────────────────────────────────┐
│                   HOST MACHINE                      │
│                                                     │
│  ┌──────────────────┐     ┌───────────────────────┐ │
│  │  Langflow-Victim │     │    Kali-Attacker      │ │
│  │  Ubuntu 22.04    │     │    Kali Linux         │ │
│  │  192.168.56.101  │◄────│    192.168.56.100     │ │
│  │  Langflow 1.8.1  │     │    PoC exploit tool   │ │
│  │  port 7860       │     │    + internet (NAT)   │ │
│  └──────────────────┘     └───────────────────────┘ │
│          Host-only netwerk: 192.168.56.0/24         │
└─────────────────────────────────────────────────────┘

CVE-2026-33017/
├── README.md # Ce fichier
├── LICENSE
├── .gitignore
├── docs/
│ └── stappenplan.md # Guide complet de déploiement et d'attaque
└── scripts/
├── setup_vms.sh # Phase 1 : Créer les VMs VirtualBox (HÔTE)
├── setup_victim.sh # Phase 2 : Installer Langflow 1.8.1 (VM Ubuntu)
└── setup_attacker.sh # Phase 3 : Installer l'outil PoC (VM Kali)

Étape	Endpoint	Description
1	`GET /api/v1/auto_login`	Récupère le jeton JWT superutilisateur (`AUTO_LOGIN=true`)
2	`POST /api/v1/flows/`	Crée un nouveau flux public via l'API
3	`POST /api/v1/build_public_tmp/{id}/flow`	Injecte un `CustomComponent` avec du code Python malveillant
4	`exec()` dans `validate.py:397`	Le code est exécuté sans sandboxing — RCE

CVE-2026-33017

Populaires

Architecture

Structure du dépôt

Démarrage rapide

Prérequis

Phase 1 — Créer les VMs (sur l'hôte)

Phase 2 — Configurer la VM victime (sur la VM Ubuntu)

Phase 3 — Configurer la VM attaquante (sur la VM Kali)

Exécuter l'attaque

Comment fonctionne l'exploit

Preuve d'exécution

Atténuation

Références