ridhinva/langflow-cors-scannerスキャナー: CVE-2025-34291 Langflow オリジン検証エラー / CORS 設定ミス — Python チェッカー (CISA KEV)
過度に寛容なCORS設定と、リフレッシュトークンのCookie設定が組み合わさることで、資格情報の窃取が可能になります。
| フィールド | 値 |
|---|---|
| CVE | CVE-2025-34291 |
| 深刻度 | HIGH |
| 製品 | Langflow |
| CISA KEV | 2026-05-21 |
| 攻撃種別 | オリジン検証 / CORS |
| 認証要件 | なし |
| 状態 | バージョン |
|---|---|
| ❌ 脆弱 | 1.3.5 より前の Langflow バージョン |
| ✅ 修正済み | Langflow 1.3.5+ で修正 |
# Clone
git clone https://github.com/ridhinva/CVE-2025-34291-Langflow-Scanner.git
cd CVE-2025-34291-Langflow-Scanner
# Install deps (if any)
pip install requests
python3 langflow_scanner.py example.com
python3 langflow_scanner.py https://192.168.1.1
echo "target1.com" > targets.txt
echo "target2.com" >> targets.txt
python3 langflow_scanner.py targets.txt
python3 langflow_scanner.py --info
このスキャナは、本脆弱性に関連する公開エンドポイントをチェックし、手動での検証を必要とする潜在的なターゲットを報告します。
| ソース | リンク |
|---|---|
| CISA KEV | https://www.cisa.gov/known-exploited-vulnerabilities-catalog |
| NVD エントリ | https://nvd.nist.gov/vuln/detail/CVE-2025-34291 |
| ベンダーアドバイザリ | https://security.paloaltonetworks.com/CVE202534291 |
許可されたセキュリティテストおよび教育目的のみに使用してください。無断アクセスは違法です。
@c_y_p_h3r — バグバウンティハンター & セキュリティリサーチャー