CVE-2025-3248
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 100.0%
- CWE
- CWE-306
- KEV Durumu
- Evet
Yayım tarihi: 7 Nisan 2025 · CISA KEV son iyileştirme tarihi: 26 Mayıs 2025
Etkilenen: langflow langflow
Langflow sürüm 1.3.0'dan önceki sürümler, /api/v1/validate/code endpoint'inde kod enjeksiyonuna karşı savunmasızdır. Uzaktan ve kimlik doğrulaması yapılmamış bir saldırgan, keyfi kod çalıştırmak için özel olarak hazırlanmış HTTP istekleri gönderebilir.
Orijinal açıklama (İngilizce)
Langflow versions prior to 1.3.0 are susceptible to code injection in the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary code.
Referanslar
- https://github.com/langflow-ai/langflow/pull/6911
- https://github.com/langflow-ai/langflow/releases/tag/1.3.0
- https://www.horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/
- https://www.vulncheck.com/advisories/langflow-unauthenticated-rce
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-3248
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.