CVE-2026-0770: Удаленное выполнение кода через exec_globals в Langflow

CVSS 9.8 (Критический) | ZDI-CAN-27325 | CWE-829: Включение функциональности из недоверенной контрольной сферы

Обзор

CVE-2026-0770 — это критическая уязвимость удаленного выполнения кода без аутентификации в Langflow, low-code фреймворке для создания приложений на основе LLM. Недостаток находится в конечной точке /api/v1/validate, где параметр exec_globals небезопасно передается в функцию Python exec(), что позволяет неаутентифицированным атакующим выполнять произвольный код с привилегиями процесса Langflow (обычно root).

Обнаружена в рамках Zero Day Initiative (ZDI-CAN-27325).

Технические детали

Инъекция exec_globals

Конечная точка валидации Langflow /api/v1/validate принимает JSON-нагрузку, содержащую поле exec_globals. Этот словарь предназначен для внутреннего использования с целью предварительного заполнения глобальных переменных при валидации пользовательских компонентов. Однако конечная точка не очищает и не ограничивает содержимое exec_globals, и значения передаются напрямую во встроенную функцию Python exec():

exec(user_code, exec_globals)

Атакующий может внедрить произвольный код Python, предоставив специально сформированный словарь exec_globals, который переопределяет встроенные функции или внедряет вредоносные вызываемые объекты. Когда Langflow внутренне выполняет пользовательский код с этими глобальными переменными, внедренный код выполняется.

CWE-829: Включение функциональности из недоверенной контрольной сферы

Уязвимость классифицируется как CWE-829, поскольку приложение включает функциональность (через exec_globals) из недоверенного источника (сетевого запроса) без надлежащей проверки, что приводит к выполнению произвольного кода.

Вектор атаки

Сеть: Удаленный
Аутентификация: Не требуется
Сложность: Низкая
Воздействие: Полная компрометация конфиденциальности, целостности и доступности

Затронутые версии

Все версии Langflow до патча, реализующего надлежащую очистку exec_globals в конечной точке валидации, уязвимы. В число затронутых версий входят:

Серия Langflow 0.x вплоть до начала 2026 года
Версии, в которых /api/v1/validate принимает exec_globals без проверки

Шаги воспроизведения

Разверните уязвимый экземпляр Langflow (или используйте лабораторную среду с явным разрешением)
Отправьте специально сформированный POST-запрос к /api/v1/validate с вредоносной нагрузкой exec_globals
Убедитесь, что внедренная команда выполняется на целевой системе

Proof of Concept

Используйте прилагаемый скрипт exploit.py:

python exploit.py --target 192.168.1.100 --port 7860 --command "id > /tmp/pwned"

Меры по устранению

Патч: Обновите Langflow до пропатченной версии, которая очищает exec_globals.
Обходной путь: Ограничьте сетевой доступ к конечной точке API Langflow с помощью брандмауэра или обратного прокси.
Эшелонированная защита: Не открывайте доступ к Langflow напрямую из недоверенных сетей.

Ссылки

[ZDI-26-000 (ZDI-CAN-27325)] https://www.zerodayinitiative.com/advisories/ZDI-26-000/
[Langflow GitHub] https://github.com/langflow-ai/langflow
[CWE-829] https://cwe.mitre.org/data/definitions/829.html
[NVD CVE-2026-0770] https://nvd.nist.gov/vuln/detail/CVE-2026-0770

Отказ от ответственности: Эта информация предоставлена исключительно в образовательных целях и для авторизованного тестирования безопасности. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых не имеете явного разрешения, незаконно.

cve-2026-0770-langflow_rce_reproduction

Популярное