PT-2025-34678 · Langflow · Langflow
Chaandrey
·
Publicado
2025-08-25
·
Atualizado
2025-10-01
·
CVE-2025-57760
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas:
Langflow (versões afetadas não especificadas)
Descrição:
O Langflow é uma ferramenta para construir e implantar agentes e fluxos de trabalho baseados em IA. Existe uma vulnerabilidade de escalonamento de privilégio em contêineres do Langflow, na qual um usuário autenticado com acesso de Execução Remota de Código (RCE) pode invocar o comando interno de CLI
langflow superuser para criar um novo usuário administrativo. Isso resulta em acesso total de superusuário, mesmo que o usuário tenha se registrado inicialmente através da interface como uma conta comum (não administrativa). A vulnerabilidade permite contornar a imposição de funções no frontend e a integridade de usuários no backend, levando a um comprometimento total da aplicação Langflow. A exploração envolve a execução do comando langflow superuser dentro do contêiner, potencialmente através do endpoint da API /api/v1/validate/code. Isso pode levar ao acesso a todos os dados de usuário, fluxos, credenciais armazenadas e configurações, bem como ao potencial vazamento de credenciais e à capacidade de executar instâncias adicionais do Langflow. Aproximadamente 2.900 a 5.100 instâncias estão expostas em todo o mundo.Recomendações:
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
LPE
RCE
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Langflow