graysignal/cve-2025-3248Scanner di exploit che rileva l'iniezione di codice non autenticata nell'endpoint /api/v1/validate/code di Langflow ed esegue codice arbitrario per test autorizzati.
Langflow è una piattaforma low-code utilizzata principalmente per costruire e distribuire agenti AI e flussi di lavoro. Semplifica il processo di sviluppo fornendo un'interfaccia visiva per creare applicazioni AI complesse, inclusi chatbot, sistemi RAG (Retrieval-Augmented Generation) e altro ancora.
Le versioni di Langflow precedenti alla 1.3.0 sono vulnerabili all'iniezione di codice nell'endpoint /api/v1/validate/code. Un attaccante remoto e non autenticato può inviare richieste HTTP POST appositamente predisposte per eseguire codice arbitrario.
Esempio di utilizzo: python3 exploit.py -u http://localhost:7860/
Disclaimer: Questo exploit deve essere utilizzato solo per scopi educativi e di test autorizzati. L'uso illegale/non autorizzato di questo exploit è vietato. Non sono responsabile di qualsiasi uso improprio o danno causato da questo script.
