CVE-2026-0770: Langflow exec_globals Execução Remota de Código

CVSS 9.8 (Crítico) | ZDI-CAN-27325 | CWE-829: Inclusão de Funcionalidade de Esfera de Controle Não Confiável

Visão Geral

CVE-2026-0770 é uma vulnerabilidade crítica de execução remota de código não autenticada no Langflow, um framework de aplicação low-code para a criação de aplicativos alimentados por LLM. A falha reside no endpoint /api/v1/validate, onde o parâmetro exec_globals é passado de forma insegura para a função exec() do Python, permitindo que atacantes não autenticados executem código arbitrário com os privilégios do processo Langflow (normalmente root).

Descoberta por meio da Zero Day Initiative (ZDI-CAN-27325).

Detalhes Técnicos

Injeção de exec_globals

O endpoint de validação do Langflow em /api/v1/validate aceita um payload JSON contendo um campo exec_globals. Este dicionário é destinado ao uso interno para pré-popular variáveis globais durante a validação de componentes personalizados. No entanto, o endpoint não sanitiza nem restringe o conteúdo de exec_globals, e os valores são passados diretamente para a função integrada exec() do Python:

exec(user_code, exec_globals)

Um atacante pode injetar código Python arbitrário fornecendo um dicionário exec_globals malicioso que substitui funções integradas ou injeta chamáveis maliciosos. Quando o Langflow avalia internamente o código do usuário com esses globais, o código injetado é executado.

CWE-829: Inclusão de Funcionalidade de Esfera de Controle Não Confiável

A vulnerabilidade é classificada como CWE-829 porque a aplicação inclui funcionalidade (via exec_globals) de uma fonte não confiável (a solicitação de rede) sem validação adequada, levando à execução de código arbitrário.

Vetor de Ataque

• Rede: Remota
• Autenticação: Nenhuma necessária
• Complexidade: Baixa
• Impacto: Comprometimento total da confidencialidade, integridade e disponibilidade

Versões Afetadas

Todas as versões do Langflow anteriores ao patch que implementa a sanitização adequada de exec_globals no endpoint de validação são afetadas. As versões afetadas específicas incluem:

• Série Langflow 0.x até o início de 2026
• Versões onde /api/v1/validate aceita exec_globals sem validação

Etapas de Reprodução

1. Implante uma instância vulnerável do Langflow (ou use um ambiente de laboratório com autorização explícita)
2. Envie uma solicitação POST maliciosa para /api/v1/validate com um payload exec_globals malicioso
3. Observe que o comando injetado é executado no sistema alvo

Prova de Conceito

Use o script exploit.py incluído:

python exploit.py --target 192.168.1.100 --port 7860 --command "id > /tmp/pwned"

Mitigação

1. Patch: Atualize o Langflow para a versão corrigida que sanitiza exec_globals.
2. Solução Alternativa: Restrinja o acesso de rede ao endpoint da API Langflow com um firewall ou proxy reverso.
3. Defesa em Profundidade: Não exponha o Langflow diretamente a redes não confiáveis.

Referências

• [ZDI-26-000 (ZDI-CAN-27325)] https://www.zerodayinitiative.com/advisories/ZDI-26-000/
• [Langflow GitHub] https://github.com/langflow-ai/langflow
• [CWE-829] https://cwe.mitre.org/data/definitions/829.html
• [NVD CVE-2026-0770] https://nvd.nist.gov/vuln/detail/CVE-2026-0770

Aviso Legal: Esta informação é fornecida apenas para fins educacionais e testes de segurança autorizados. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal.