CVE-2026-9198 - RCE non autenticata in IBM Langflow tramite bypass dell'auto-login (PoC didattico)

Questo repository fornisce una proof of concept didattica per CVE-2026-9198 che colpisce IBM Langflow OSS.

Il PoC (poc.py) mostra come un attaccante non autenticato possa concatenare:

1. GET/POST /api/v1/auto_login (restituisce un token da superutente quando l'auto-login è abilitato), e
2. POST /api/v1/validate/code (esegue codice Python controllato dall'attaccante)

per ottenere l'esecuzione remota di codice.

Disclaimer

Questo codice e gli stack Docker forniti sono destinati esclusivamente a test di sicurezza locali e a scopo educativo.
Non eseguirlo contro sistemi che non possiedi o per i quali non hai esplicitamente il permesso di testare.

Repository Layout

.
├── poc.py
├── vulnerable/docker-compose.yaml
└── patched/docker-compose.yaml

• poc.py: PoC dell'exploit.
• vulnerable/docker-compose.yaml: stack di laboratorio che usa langflowai/langflow:1.10.0 (vulnerabile).
• patched/docker-compose.yaml: stack di laboratorio che usa langflowai/langflow:1.10.1 (target del comportamento corretto).

Entrambi i file compose sono configurati intenzionalmente come laboratori per testare poc.py su http://127.0.0.1:9999.

Prerequisiti

• Docker + Docker Compose
• Python 3.8+
• Pacchetto Python:

pip install requests

Avvia lo Stack di Laboratorio Vulnerabile

Avvia l'ambiente vulnerabile:

docker compose -f vulnerable/docker-compose.yaml up -d

Esegui il PoC:

python3 poc.py

Il risultato atteso nell'ambiente vulnerabile include una riga rossa [!] e un output del comando simile a:

[!] /api/v1/auto_login is vulnerable: uid=... gid=...

Avvia lo Stack di Laboratorio Corretto

Arresta prima lo stack vulnerabile (se è in esecuzione):

docker compose -f vulnerable/docker-compose.yaml down -v

Avvia l'ambiente corretto:

docker compose -f patched/docker-compose.yaml up -d

Esegui lo stesso PoC:

python3 poc.py

Il risultato atteso nell'ambiente corretto è una riga verde [-] che indica che la catena dell'exploit non riesce più.

Configurazione del PoC

In poc.py:

• URL ha come default http://127.0.0.1:9999
• CMD ha come default id

Modifica queste costanti se devi testare un target locale o un comando diverso.

Riferimenti

• https://nvd.nist.gov/vuln/detail/CVE-2026-9198
• https://www.ibm.com/support/pages/node/7278927
• Ispirato da https://github.com/0xdak/CVE-2026-9198_exploit