graysignal/cve-2025-3248एक्सप्लॉइट स्कैनर जो Langflow के /api/v1/validate/code एंडपॉइंट में बिना प्रमाणीकरण के कोड इंजेक्शन का पता लगाता है और अधिकृत परीक्षणों के लिए मनमाना कोड निष्पादित करता है।
Langflow एक लो-कोड प्लेटफ़ॉर्म है जिसका उपयोग मुख्य रूप से AI एजेंटों और वर्कफ़्लो बनाने तथा तैनात करने के लिए किया जाता है। यह जटिल AI अनुप्रयोगों, जिनमें चैटबॉट, RAG (रिट्रीवल-ऑगमेंटेड जेनरेशन) सिस्टम आदि शामिल हैं, को बनाने के लिए एक विज़ुअल इंटरफ़ेस प्रदान करके विकास प्रक्रिया को सरल बनाता है।
Langflow के 1.3.0 से पहले के संस्करण /api/v1/validate/code एंडपॉइंट में कोड इंजेक्शन के प्रति संवेदनशील हैं। एक रिमोट और बिना प्रमाणीकरण वाला हमलावर मनमाना कोड निष्पादित करने के लिए क्राफ्टेड HTTP POST अनुरोध भेज सकता है।
उपयोग उदाहरण: python3 exploit.py -u http://localhost:7860/
अस्वीकरण: यह एक्सप्लॉइट केवल शैक्षिक और अधिकृत परीक्षण उद्देश्यों के लिए उपयोग किया जाना चाहिए। इस एक्सप्लॉइट का अवैध/अनधिकृत उपयोग निषिद्ध है। इस स्क्रिप्ट के किसी भी दुरुपयोग या क्षति के लिए मैं ज़िम्मेदार नहीं हूँ।
