graysignal/cve-2025-3248Langflow의 /api/v1/validate/code 엔드포인트에서 인증되지 않은 코드 삽입을 탐지하고 승인된 테스트를 위해 임의 코드를 실행하는 익스플로잇 스캐너입니다.
Langflow는 주로 AI 에이전트와 워크플로우를 구축하고 배포하는 데 사용되는 로우코드 플랫폼입니다. 챗봇, RAG(검색 증강 생성) 시스템 등을 포함한 복잡한 AI 애플리케이션을 만들기 위한 시각적 인터페이스를 제공하여 개발 프로세스를 단순화합니다.
1.3.0 이전 버전의 Langflow는 /api/v1/validate/code 엔드포인트에서 코드 주입 취약점에 노출되어 있습니다. 원격의 인증되지 않은 공격자는 조작된 HTTP POST 요청을 보내 임의 코드를 실행할 수 있습니다.
사용 예시: python3 exploit.py -u http://localhost:7860/
면책 조항: 이 익스플로잇은 교육 및 공인된 테스트 목적으로만 사용해야 합니다. 이 익스플로잇의 불법/무단 사용은 금지됩니다. 이 스크립트로 인한 오용이나 피해에 대해 저는 책임지지 않습니다.
