Exploit para Execução Remota de Código (Não Autenticado) no Langflow AI
Um framework abrangente de exploração em Python para testar e demonstrar a CVE-2025-3248, uma vulnerabilidade crítica de execução remota de código não autenticada no Langflow versões ≤ 1.3.0.
Execução Remota de Código Langflow
Prova de conceito de exploit para CVE-2025-3248, uma vulnerabilidade de execução remota de código não autenticada no Langflow, demonstrando injeção de código por meio do endpoint /api/v1/validate/code.
Exploit baseado em Python para CVE-2025-3248 permitindo execução remota de código em instâncias vulneráveis do Langflow. Suporta varredura de URL única e em lote com detecção automática de vulnerabilidades e execução de comandos.
PoC para CVE-2025-3248: RCE não autenticado no Langflow < 1.3.0 via /api/v1/validate/code.
Scanner e exploit para CVE-2025-3248, uma RCE não autenticada no Langflow AI. Inclui um verificador de vulnerabilidades e um gerador de payloads de reverse shell para testes de segurança autorizados.
Este script Python explora o CVE-2025-3248 para executar comandos arbitrários ou gerar um shell reverso em um sistema vulnerável. A autenticação é necessária para utilizar este exploit.
Exploração de prova de conceito para CVE-2025-3248, uma vulnerabilidade de injeção remota de código no Langflow anterior a 1.3.0. Envia solicitações HTTP elaboradas para executar código arbitrário via endpoint /api/v1/validate/code.
CVE-2025-3248: Foi descoberta uma falha crítica no Langflow que permite que atores maliciosos executem código Python arbitrário no sistema alvo. Isso pode levar à execução remota de código completa sem autenticação, potencialmente dando aos atacantes controle sobre o servidor.
PoC para alcançar RCE em Langflow versões <1.3.0
Um scanner de vulnerabilidades para CVE-2025-3248 em aplicativos Langflow. 用于扫描 Langflow 应用中 CVE-2025-3248 漏洞的工具。
Exploit RCE CVE-2025-3248 Langflow
CVE-2025-3248 — Exploit RCE do Langflow
Análise educacional e exploit de prova de conceito para CVE-2025-3248, uma vulnerabilidade crítica de injeção de código não autenticada no Langflow, incluindo orientações de mitigação.
Exploit de Execução Remota de Código para Langflow (CVE-2025-3248) - [ By S4Tech ]
Exploração de prova de conceito baseada em Rust para CVE-2025-3248, um RCE não autenticado crítico no Langflow via /api/v1/validate/code, permitindo execução arbitrária de comandos.
POC do CVE-2025-3248, RCE do LangFlow
Realize execução remota de código usando um endpoint de API vulnerável.
Exploit para CVE-2025-3248: injeta payloads Python elaborados em um endpoint de código de API não autenticado para executar comandos arbitrários no servidor alvo.
Langflow, ao analisar e compilar o "código de validação" enviado pelo usuário via AST, chama `compile()`/`exec()` do Python sem autenticação e sem restrições de sandbox (além de avaliar argumentos padrão de funções e decoradores durante a fase de compilação). Um atacante pode colocar payloads maliciosos em valores padrão de parâmetros ou em decoradores, executando assim instruções arbitrárias no contexto do servidor (reverse shell, downloaders, movimento lateral, etc.).
Ferramenta CLI para detectar e explorar a CVE-2025-3248, uma vulnerabilidade crítica de RCE no Langflow, com execução de payload personalizável para testes de penetração autorizados.
Scanner de exploits que detecta injeção de código sem autenticação no endpoint /api/v1/validate/code do Langflow e executa código arbitrário para testes autorizados.
Versões do Langflow anteriores à 1.3.0 são suscetíveis a injeção de código no endpoint /api/v1/validate/code. Um atacante remoto e não autenticado pode enviar solicitações HTTP elaboradas para executar código arbitrário.
Laboratório educacional simulando o CVE-2025-3248 com um serviço Docker vulnerável e exploit PoC para treinamento prático de segurança e prática de mitigação.
CVE-2025-3248
Prova de conceito de exploit para CVE-2026-9198, uma RCE não autenticada no IBM Langflow OSS, encadeando os endpoints auto_login e validate/code. Inclui um laboratório Docker vulnerável para testes autorizados e educação.
VeryLazyTech · multiple · 18 de abr. de 2025
Raghad Abdallah Al-syouf · multiple · 16 de jul. de 2025
