POC - 원격의 인증되지 않은 공격자가 조작된 HTTP 요청을 보내 임의 코드를 실행할 수 있음 - CVE-2025-3248

개요

Langflow 1.3.0 이전 버전은 /api/v1/validate/code 엔드포인트에서 코드 인젝션에 취약합니다. 원격의 인증되지 않은 공격자가 조작된 HTTP 요청을 전송하여 임의 코드를 실행할 수 있습니다.

전체 POC

관련 정보 보기 — CVE-2025-3248

면책 조항: 본 개념 증명(POC)은 교육 및 윤리적 테스트 목적으로만 제작되었습니다. 사전에 상호 동의 없이 대상을 공격하는 데 이 도구를 사용하는 것은 불법입니다. 최종 사용자는 해당 지역, 주, 연방 법률을 모두 준수할 책임이 있습니다. 개발자는 책임을 지지 않으며, 이 프로그램으로 인한 오용이나 피해에 대해 책임을 지지 않습니다.

시작하기

대상 찾기

잠재적 대상을 찾으려면 Fofa(Shodan.io와 유사)를 사용하세요:

• Fofa Dork: "Langflow"`

저장소 클론

먼저 저장소를 클론합니다:

git clone https://github.com/verylazytech/CVE-2025-3248

익스플로잇 실행:

python3 CVE-2025-3248.py <Target:port>  <cmd>