z4yd3/poc-cve-2026-33017CVE-2026-33017の概念実証エクスプロイト。Langflow 1.8.2より前のバージョンにおいて、build_public_tmp APIエンドポイントを介した認証不要のリモートコード実行を実証します。
Langflow には重大なコードインジェクションの脆弱性が存在し、未認証のリモート攻撃者がサーバー上で任意の Python コードを実行できる可能性があります。この脆弱性は、POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントに存在します。このエンドポイントは未認証ユーザーが「公開フロー」をビルドできるように設計されていますが、オプションの data パラメータを誤って処理します。このパラメータが指定されると、Langflow は攻撃者が制御するフロー定義に含まれる任意の Python コードを、サンドボックス化や検証なしに exec() 関数を使用して実行します。
この概念実証は、Langflow 1.8.2 より前のバージョンにおける未認証のリモートコード実行（RCE）を示しています。この脆弱性は、build_public_tmp API エンドポイントを介して「カスタムコンポーネント」テンプレート内に提供された生の Python コードをアプリケーションが受け入れ、実行してしまうことに起因します。
LANGFLOW 1.8.2 でテスト済み
https://github.com/user-attachments/assets/63358c33-0eca-49f4-84eb-542a5859dc0f
Usage: python3 script.py <url>
CVE-2026-33017 (MITRE): https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-33017
Langflow GitHub セキュリティアドバイザリ: https://github.com/langflow-ai/langflow/security/advisories/GHSA-vwmf-pq79-vjvx