CVE-2025-3248

गंभीरप्रकाशित

Langflow < 1.3.0 बिना प्रमाणीकरण के RCE /api/v1/validate/code के माध्यम से

प्रकाशित: 7 अप्रैल 2025
अद्यतन: 8 अक्टू॰ 2026
सीएनए असाइन करना: VulnCheck
साक्ष्य देखे गए: 18 अप्रैल 2025

प्राथमिक सीवीएसएस

9.8/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

100.0%

उच्च · अगले 30 दिन

प्रतिशत: 100.0%
मॉडल दिनांक: 17 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

Langflow के 1.3.0 से पहले के संस्करण /api/v1/validate/code एंडपॉइंट में कोड इंजेक्शन की चपेट में हैं। एक दूरस्थ तथा अनधिकृत हमलावर मनमाना कोड निष्पादित करने के लिए विशेष रूप से तैयार किए गए HTTP अनुरोध भेज सकता है।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 3 · रिपॉज़िटरी: 3

1 मॉड्यूल1 टेम्पलेट1 लैब

Langflow `validate/code` API Pre-Auth Remote Code Executionलैब
langflow/CVE-2025-3248
Langflow `validate/code` API Pre-Auth Remote Code Execution (CVE-2025-3248)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/langflow:1.2.0(langflow/CVE-2025-3248/docker-compose.yml:services.web.image)
Langflow AI RCEमॉड्यूल
modules/exploits/multi/http/langflow_unauth_rce_cve_2025_3248.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- platform: Python($.exploit_multi/http/langflow_unauth_rce_cve_2025_3248.platform)
- verification: check_declared($.exploit_multi/http/langflow_unauth_rce_cve_2025_3248.check)
Langflow AI - Unauthenticated Remote Code Executionटेम्पलेट
http/cves/2025/CVE-2025-3248.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 17f5725dc10cसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)

CVE-2025-3248एक्सप्लॉइट
Langflow AI Remote Code Execution (Unauthenticated) के लिए एक्सप्लॉइट
cve-2025-3248-exploitएक्सप्लॉइट
Langflow संस्करण ≤ 1.3.0 में एक गंभीर बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन (RCE) भेद्यता, CVE-2025-3248 के परीक्षण और प्रदर्शन के लिए एक व्यापक Python शोषण फ्रेमवर्क।
CVE-2025-3248PoC
लैंगफ्लो रिमोट कोड निष्पादन
CVE-2025-3248-Langflow-RCEएक्सप्लॉइट
CVE-2025-3248 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Langflow में एक अनप्रमाणित रिमोट कोड निष्पादन भेद्यता है, जो /api/v1/validate/code एंडपॉइंट के माध्यम से कोड इंजेक्शन का प्रदर्शन करता है।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248 के लिए Python-आधारित शोषण जो कमजोर Langflow इंस्टेंस पर दूरस्थ कोड निष्पादन सक्षम करता है। एकल URL और बल्क स्कैनिंग का समर्थन करता है, स्वचालित कमजोरी पहचान और कमांड निष्पादन के साथ।
langflow-exploitएक्सप्लॉइट
CVE-2025-3248 के लिए PoC: Langflow < 1.3.0 में /api/v1/validate/code के माध्यम से बिना प्रमाणीकरण के RCE।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248 के लिए स्कैनर और एक्सप्लॉइट, Langflow AI में एक अप्रमाणित RCE। इसमें अधिकृत सुरक्षा परीक्षण के लिए एक भेद्यता जांचकर्ता और एक रिवर्स शेल पेलोड जनरेटर शामिल है।
RCE-CVE-2025-3248एक्सप्लॉइट
यह पायथन स्क्रिप्ट CVE-2025-3248 का शोषण करके एक असुरक्षित सिस्टम पर मनमाने कमांड निष्पादित करती है या रिवर्स शेल उत्पन्न करती है। इस शोषण का उपयोग करने के लिए प्रमाणीकरण आवश्यक है।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Langflow 1.3.0 से पहले में रिमोट कोड इंजेक्शन भेद्यता है। /api/v1/validate/code एंडपॉइंट के माध्यम से मनमाना कोड निष्पादित करने के लिए तैयार HTTP अनुरोध भेजता है।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248: लैंगफ्लो में एक गंभीर खामी पाई गई है जो दुर्भावनापूर्ण अभिनेताओं को लक्षित सिस्टम पर मनमाना Python कोड निष्पादित करने की अनुमति देती है। इसका परिणाम बिना प्रमाणीकरण के पूर्ण रिमोट कोड निष्पादन हो सकता है, जो संभावित रूप से हमलावरों को सर्वर पर नियंत्रण दे सकता है।
CVE-2025-3248एक्सप्लॉइट
Langflow संस्करण <1.3.0 में RCE प्राप्त करने के लिए PoC
CVE-2025-3248एक्सप्लॉइट
Langflow अनुप्रयोगों में CVE-2025-3248 के लिए एक भेद्यता स्कैनर। Langflow अनुप्रयोगों में CVE-2025-3248 भेद्यता को स्कैन करने के लिए एक उपकरण।
CVE-2025-3248-Langflow-RCEएक्सप्लॉइट
CVE-2025-3248 Langflow RCE Exploit
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248 — Langflow RCE एक्सप्लॉइट
CVE-2025-3248PoC
# CVE-2025-3248 के लिए शैक्षिक विश्लेषण और प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट यह Langflow में एक गंभीर बिना-प्रमाणीकरण कोड इंजेक्शन भेद्यता है, जिसमें शमन मार्गदर्शन भी शामिल है।
langflow-rce-exploitएक्सप्लॉइट
Langflow के लिए दूरस्थ कोड निष्पादन शोषण (CVE-2025-3248) - [ S4Tech द्वारा ]
CVE-2025-3248-POCएक्सप्लॉइट
CVE-2025-3248 के लिए रस्ट-आधारित प्रूफ-ऑफ-कॉन्सेप्ट शोषण, Langflow में /api/v1/validate/code के माध्यम से महत्वपूर्ण अप्रमाणित RCE, मनमाना कमांड निष्पादन की अनुमति देता है।
CVE-2025-3248-POCPoC
CVE-2025-3248 का POC, LangFlow की RCE
CVE-2025-3248एक्सप्लॉइट
कमजोर API एंडपॉइंट का उपयोग करके रिमोट कोड एक्ज़ीक्यूशन करें।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248 के लिए शोषण: लक्ष्य सर्वर पर मनमाने कमांड निष्पादित करने के लिए एक अप्रमाणित API कोड एंडपॉइंट में क्राफ्टेड Python पेलोड इंजेक्ट करता है।
cve-2025-3248एक्सप्लॉइट
Langflow, उपयोगकर्ता द्वारा प्रस्तुत "सत्यापन कोड" का AST पार्सिंग और संकलन करते समय, प्रमाणीकरण और सैंडबॉक्स प्रतिबंधों के बिना Python के compile()/exec() को कॉल करता है (साथ ही संकलन चरण के दौरान फ़ंक्शन डिफ़ॉल्ट तर्कों और डेकोरेटरों का मूल्यांकन करता है)। हमलावर दुर्भावनापूर्ण पेलोड को डिफ़ॉल्ट तर्क मानों या डेकोरेटरों में रख सकता है, और इसके माध्यम से सर्वर संदर्भ में मनमाने कथन निष्पादित कर सकता है (रिवर्स शेल, डाउनलोडर, लेटरल मूवमेंट, आदि)।
Mass-CVE-2025-3248एक्सप्लॉइट
Langflow में एक गंभीर RCE भेद्यता, CVE-2025-3248 का पता लगाने और शोषण करने के लिए CLI टूल, जिसमें प्राधिकृत पेनेट्रेशन परीक्षण के लिए अनुकूलन योग्य पेलोड निष्पादन शामिल है।
CVE-2025-3248एक्सप्लॉइट
एक्सप्लॉइट स्कैनर जो Langflow के /api/v1/validate/code एंडपॉइंट में बिना प्रमाणीकरण के कोड इंजेक्शन का पता लगाता है और अधिकृत परीक्षणों के लिए मनमाना कोड निष्पादित करता है।
Langflow-CVE-2025-3248-Multi-targetस्कैनर
Langflow के संस्करण 1.3.0 से पहले /api/v1/validate/code एंडपॉइंट में कोड इंजेक्शन की चपेट में हैं। एक दूरस्थ और अप्रमाणित हमलावर मनमाना कोड निष्पादित करने के लिए निर्मित HTTP अनुरोध भेज सकता है।
Demo_CVE-2025-3248PoC
शैक्षिक प्रयोगशाला जो CVE-2025-3248 का अनुकरण करती है, जिसमें एक कमजोर Docker सेवा और PoC एक्सप्लॉइट शामिल है, जो व्यावहारिक सुरक्षा प्रशिक्षण और शमन अभ्यास के लिए है।
CVE-2025-3248एक्सप्लॉइट
CVE-2025-3248
EXPLOIT-CVE-2026-9198एक्सप्लॉइट
CVE-2026-9198 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो IBM Langflow OSS में एक अनप्रमाणित RCE है, जो auto_login और validate/code एंडपॉइंट्स को चेन करता है। इसमें अधिकृत परीक्षण और शिक्षा के लिए एक कमजोर Docker लैब शामिल है।
Langflow 1.3.0 - Remote Code Execution (RCE)एक्सप्लॉइट
VeryLazyTech · multiple · 18 अप्रैल 2025
Langflow 1.2.x - Remote Code Execution (RCE)एक्सप्लॉइट
Raghad Abdallah Al-syouf · multiple · 16 जुल॰ 2025

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।

सारांश

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 3 · रिपॉज़िटरी: 3

1 मॉड्यूल1 टेम्पलेट1 लैब

Langflow `validate/code` API Pre-Auth Remote Code Executionलैब
langflow/CVE-2025-3248
Langflow `validate/code` API Pre-Auth Remote Code Execution (CVE-2025-3248)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/langflow:1.2.0(langflow/CVE-2025-3248/docker-compose.yml:services.web.image)
Langflow AI RCEमॉड्यूल
modules/exploits/multi/http/langflow_unauth_rce_cve_2025_3248.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- platform: Python($.exploit_multi/http/langflow_unauth_rce_cve_2025_3248.platform)
- verification: check_declared($.exploit_multi/http/langflow_unauth_rce_cve_2025_3248.check)
Langflow AI - Unauthenticated Remote Code Executionटेम्पलेट
http/cves/2025/CVE-2025-3248.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 17f5725dc10cसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)

CVE-2025-3248एक्सप्लॉइट

Langflow AI Remote Code Execution (Unauthenticated) के लिए एक्सप्लॉइट

cve-2025-3248-exploitएक्सप्लॉइट

Langflow संस्करण ≤ 1.3.0 में एक गंभीर बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन (RCE) भेद्यता, CVE-2025-3248 के परीक्षण और प्रदर्शन के लिए एक व्यापक Python शोषण फ्रेमवर्क।

CVE-2025-3248PoC

लैंगफ्लो रिमोट कोड निष्पादन

CVE-2025-3248-Langflow-RCEएक्सप्लॉइट

CVE-2025-3248 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Langflow में एक अनप्रमाणित रिमोट कोड निष्पादन भेद्यता है, जो /api/v1/validate/code एंडपॉइंट के माध्यम से कोड इंजेक्शन का प्रदर्शन करता है।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248 के लिए Python-आधारित शोषण जो कमजोर Langflow इंस्टेंस पर दूरस्थ कोड निष्पादन सक्षम करता है। एकल URL और बल्क स्कैनिंग का समर्थन करता है, स्वचालित कमजोरी पहचान और कमांड निष्पादन के साथ।

langflow-exploitएक्सप्लॉइट

CVE-2025-3248 के लिए PoC: Langflow < 1.3.0 में /api/v1/validate/code के माध्यम से बिना प्रमाणीकरण के RCE।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248 के लिए स्कैनर और एक्सप्लॉइट, Langflow AI में एक अप्रमाणित RCE। इसमें अधिकृत सुरक्षा परीक्षण के लिए एक भेद्यता जांचकर्ता और एक रिवर्स शेल पेलोड जनरेटर शामिल है।

RCE-CVE-2025-3248एक्सप्लॉइट

यह पायथन स्क्रिप्ट CVE-2025-3248 का शोषण करके एक असुरक्षित सिस्टम पर मनमाने कमांड निष्पादित करती है या रिवर्स शेल उत्पन्न करती है। इस शोषण का उपयोग करने के लिए प्रमाणीकरण आवश्यक है।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Langflow 1.3.0 से पहले में रिमोट कोड इंजेक्शन भेद्यता है। /api/v1/validate/code एंडपॉइंट के माध्यम से मनमाना कोड निष्पादित करने के लिए तैयार HTTP अनुरोध भेजता है।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248: लैंगफ्लो में एक गंभीर खामी पाई गई है जो दुर्भावनापूर्ण अभिनेताओं को लक्षित सिस्टम पर मनमाना Python कोड निष्पादित करने की अनुमति देती है। इसका परिणाम बिना प्रमाणीकरण के पूर्ण रिमोट कोड निष्पादन हो सकता है, जो संभावित रूप से हमलावरों को सर्वर पर नियंत्रण दे सकता है।

CVE-2025-3248एक्सप्लॉइट

Langflow संस्करण <1.3.0 में RCE प्राप्त करने के लिए PoC

CVE-2025-3248एक्सप्लॉइट

Langflow अनुप्रयोगों में CVE-2025-3248 के लिए एक भेद्यता स्कैनर। Langflow अनुप्रयोगों में CVE-2025-3248 भेद्यता को स्कैन करने के लिए एक उपकरण।

CVE-2025-3248-Langflow-RCEएक्सप्लॉइट

CVE-2025-3248 Langflow RCE Exploit

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248 — Langflow RCE एक्सप्लॉइट

CVE-2025-3248PoC

# CVE-2025-3248 के लिए शैक्षिक विश्लेषण और प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट यह Langflow में एक गंभीर बिना-प्रमाणीकरण कोड इंजेक्शन भेद्यता है, जिसमें शमन मार्गदर्शन भी शामिल है।

langflow-rce-exploitएक्सप्लॉइट

Langflow के लिए दूरस्थ कोड निष्पादन शोषण (CVE-2025-3248) - [ S4Tech द्वारा ]

CVE-2025-3248-POCएक्सप्लॉइट

CVE-2025-3248 के लिए रस्ट-आधारित प्रूफ-ऑफ-कॉन्सेप्ट शोषण, Langflow में /api/v1/validate/code के माध्यम से महत्वपूर्ण अप्रमाणित RCE, मनमाना कमांड निष्पादन की अनुमति देता है।

CVE-2025-3248-POCPoC

CVE-2025-3248 का POC, LangFlow की RCE

CVE-2025-3248एक्सप्लॉइट

कमजोर API एंडपॉइंट का उपयोग करके रिमोट कोड एक्ज़ीक्यूशन करें।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248 के लिए शोषण: लक्ष्य सर्वर पर मनमाने कमांड निष्पादित करने के लिए एक अप्रमाणित API कोड एंडपॉइंट में क्राफ्टेड Python पेलोड इंजेक्ट करता है।

cve-2025-3248एक्सप्लॉइट

Langflow, उपयोगकर्ता द्वारा प्रस्तुत "सत्यापन कोड" का AST पार्सिंग और संकलन करते समय, प्रमाणीकरण और सैंडबॉक्स प्रतिबंधों के बिना Python के compile()/exec() को कॉल करता है (साथ ही संकलन चरण के दौरान फ़ंक्शन डिफ़ॉल्ट तर्कों और डेकोरेटरों का मूल्यांकन करता है)। हमलावर दुर्भावनापूर्ण पेलोड को डिफ़ॉल्ट तर्क मानों या डेकोरेटरों में रख सकता है, और इसके माध्यम से सर्वर संदर्भ में मनमाने कथन निष्पादित कर सकता है (रिवर्स शेल, डाउनलोडर, लेटरल मूवमेंट, आदि)।

Mass-CVE-2025-3248एक्सप्लॉइट

Langflow में एक गंभीर RCE भेद्यता, CVE-2025-3248 का पता लगाने और शोषण करने के लिए CLI टूल, जिसमें प्राधिकृत पेनेट्रेशन परीक्षण के लिए अनुकूलन योग्य पेलोड निष्पादन शामिल है।

CVE-2025-3248एक्सप्लॉइट

एक्सप्लॉइट स्कैनर जो Langflow के /api/v1/validate/code एंडपॉइंट में बिना प्रमाणीकरण के कोड इंजेक्शन का पता लगाता है और अधिकृत परीक्षणों के लिए मनमाना कोड निष्पादित करता है।

Langflow-CVE-2025-3248-Multi-targetस्कैनर

Langflow के संस्करण 1.3.0 से पहले /api/v1/validate/code एंडपॉइंट में कोड इंजेक्शन की चपेट में हैं। एक दूरस्थ और अप्रमाणित हमलावर मनमाना कोड निष्पादित करने के लिए निर्मित HTTP अनुरोध भेज सकता है।

Demo_CVE-2025-3248PoC

शैक्षिक प्रयोगशाला जो CVE-2025-3248 का अनुकरण करती है, जिसमें एक कमजोर Docker सेवा और PoC एक्सप्लॉइट शामिल है, जो व्यावहारिक सुरक्षा प्रशिक्षण और शमन अभ्यास के लिए है।

CVE-2025-3248एक्सप्लॉइट

CVE-2025-3248

EXPLOIT-CVE-2026-9198एक्सप्लॉइट

CVE-2026-9198 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो IBM Langflow OSS में एक अनप्रमाणित RCE है, जो auto_login और validate/code एंडपॉइंट्स को चेन करता है। इसमें अधिकृत परीक्षण और शिक्षा के लिए एक कमजोर Docker लैब शामिल है।

Langflow 1.3.0 - Remote Code Execution (RCE)एक्सप्लॉइट

VeryLazyTech · multiple · 18 अप्रैल 2025

Langflow 1.2.x - Remote Code Execution (RCE)एक्सप्लॉइट

Raghad Abdallah Al-syouf · multiple · 16 जुल॰ 2025

जिम्मेदारीपूर्ण उपयोग