CVE-2025-3248 — Langflow AI 인증되지 않은 원격 코드 실행

Author: 0xgh057r3c0n

설명

이 익스플로잇은 Langflow AI의 중요한 인증되지 않은 RCE 취약점(CVE-2025-3248)을 대상으로 합니다. 이 취약점으로 인해 공격자는 /api/v1/validate/code 엔드포인트를 통해 대상 서버에서 임의의 시스템 명령을 실행할 수 있습니다.

이 개념 증명(PoC) 도구는 문제를 테스트하고 시연하기 위한 대화형 셸을 제공합니다.

사전 요구 사항

• Python 3.8 이상
• 종속성 설치를 위한 pip3

설치

1. 저장소 클론

git clone https://github.com/yourusername/CVE-2025-3248.git
cd CVE-2025-3248

2. Python 종속성 설치

pip3 install -r requirements.txt

사용법

python3 CVE-2025-3248.py -u http://TARGET_HOST:PORT

예제

python3 CVE-2025-3248.py -u http://127.0.0.1:7860

대화형 셸이 나타납니다:

0xgh057r3c0n@root💀$ whoami
langflow

0xgh057r3c0n@root💀$ uname -a
Linux ubuntu 5.15.0-89-generic #99~20.04.1-Ubuntu SMP ...

• 종료하려면: exit 또는 quit 입력
• 일반적인 Linux/Unix 셸 명령 지원

참고 사항

• SSL 인증이 비활성화됨 (자체 서명 인증서 테스트에 유용)
• 이 PoC는 교육 및 승인된 테스트 목적으로만 사용됩니다

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.

면책 조항

이 소프트웨어는 교육 및 연구 목적으로만 제공됩니다. 저자는 이 코드의 오용에 대해 어떠한 책임도 지지 않습니다. 소유하고 있거나 테스트할 명시적 권한이 있는 시스템에서만 사용하세요.