CVE-2026-33017 — Template Nuclei pour RCE non authentifié dans Langflow

Template Nuclei qui détecte CVE-2026-33017 — une vulnérabilité d'exécution de code à distance non authentifiée dans Langflow ≤ 1.8.2 accessible via le point de terminaison public flow-build :

POST /api/v1/build_public_tmp/{flow_id}/flow

Le gestionnaire vulnérable accepte un graphe de flux data contrôlé par l'attaquant et transmet data.nodes[].data.node.template.code.value directement dans Python exec() lors de la construction du graphe, sans sandboxing. Le correctif (≥ 1.9.0) supprime le paramètre data de la signature du gestionnaire, de sorte qu'une version corrigée rejette la même requête au niveau de la validation FastAPI avec HTTP 422.

Comment le template décide

Le template est non destructeur. Il envoie une charge utile inerte contre un ID de flux zéro-UUID, de sorte qu'il ne peut pas atteindre exec() même sur un hôte vulnérable. Il distingue le gestionnaire vulnérable du gestionnaire corrigé uniquement par la signature de la réponse HTTP.

Routage pour l'étape 2 :

Une confirmation RCE réelle nécessite encore (a) un UUID de flux PUBLIC réel sur la cible et (b) un rappel hors bande (DNS/HTTP). Cette étape n'est pas incluse ici intentionnellement — ce template est la pré-vérification sécurisée qui décide s'il est pertinent d'exécuter un exploit actif.

Utilisation

Hôte unique :

nuclei -t CVE-2026-33017.yaml -u https://target.example.com

Analyse en masse à partir d'une liste :

nuclei -t CVE-2026-33017.yaml -l targets.txt -rl 20 -c 10

Avec sortie de débogage (voir les requêtes/réponses brutes) :

nuclei -t CVE-2026-33017.yaml -u https://target.example.com -debug-req -debug-resp

Validez le template localement avant de l'exécuter :

nuclei -validate -t CVE-2026-33017.yaml

Exemple de sortie

Cible vulnérable :

[CVE-2026-33017] [http] [critical] https://target.example.com [vulnerable-flow-not-found] ["1.8.2","base"]

Cible corrigée — aucun résultat émis (la réponse 422 ne correspond à aucune règle).

Trouver des candidats

Requêtes de découverte courantes pour les hôtes Langflow (à utiliser uniquement sur des actifs que vous êtes autorisé à tester) :

• Shodan : http.title:"Langflow"
• FOFA : app="Langflow"
• Google : intitle:"Langflow" inurl:"/flows"

Détails de la vulnérabilité

• CVE: CVE-2026-33017
• CWE: CWE-94 (Contrôle inapproprié de la génération de code)
• CVSS 3.1: 9.3 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Affecté: Langflow ≤ 1.8.2
• Corrigé dans: Langflow ≥ 1.9.0
• Vecteur: Réseau, non authentifié, aucune interaction utilisateur
• Impact: Exécution de code à distance en tant qu'utilisateur du processus Langflow

Cause racine (résumé)

Dans les versions vulnérables, le gestionnaire public est déclaré approximativement comme :

@router.post("/build_public_tmp/{flow_id}/flow")
async def build_public_flow(flow_id: UUID, data: FlowDataRequest | None = None, ...):
    ...
    await verify_public_flow_and_get_user(flow_id, ...)
    ...
    # data.nodes[].data.node.template.code.value reaches exec() in the
    # Component build path

data est contrôlé par l'attaquant. Le gestionnaire corrigé supprime complètement le paramètre et force data=None, c'est pourquoi une requête qui inclut un champ data dans le corps est rejetée avec 422 sur les versions corrigées.

Remédiation

1. Mettez à niveau Langflow vers ≥ 1.9.0.
2. Si vous ne pouvez pas mettre à niveau immédiatement, bloquez /api/v1/build_public_tmp/ au niveau du proxy inverse.
3. Définissez LANGFLOW_AUTO_LOGIN=False, configurez les identifiants superutilisateur et faites tourner LANGFLOW_SECRET_KEY.
4. Auditez les flux existants — les flux access_type=PUBLIC sont ceux qu'un attaquant ciblerait dans l'URL.

Références

• Avis GitHub : https://github.com/advisories/GHSA-vwmf-pq79-vjvx
• Article SonicWall : https://www.sonicwall.com/pt-br/blog/langflow-ai-code-injection-to-rce-flaw
• Source du gestionnaire corrigé : https://github.com/langflow-ai/langflow/blob/main/src/backend/base/langflow/api/v1/chat.py

Légal et divulgation

Ce template est publié pour la sécurité défensive et les tests autorisés uniquement. L'exécuter contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de tester est illégal dans la plupart des juridictions et viole les conditions d'utilisation de la plateforme.

En utilisant ce template, vous acceptez que :

• Vous ne scannerez que les actifs que vous possédez ou pour lesquels vous êtes explicitement autorisé à tester (scope de bug bounty, engagement de pentest signé, inventaire d'actifs internes).
• L'auteur n'est pas responsable d'une mauvaise utilisation.
• Le template est fourni en l'état, sans garantie.

Auteur

lopseg — https://github.com/lopseg

Les pull requests et les issues sont les bienvenues.

Licence

MIT