CVE-2025-3248
Langflow < 1.3.0 Unauthenticated RCE via /api/v1/validate/code
CVSS 3.1Medium
9.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить Langflow до версии 1.3.0 или выше. В качестве временной меры закрыть публичный сетевой доступ к API и ограничить вызовы через reverse proxy.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Критическая уязвимость удаленного исполнения кода в Langflow версий ниже 1.3.0. Позволяет непривилегированному удаленному пользователю захватить сервер приложения.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинт /api/v1/validate/code обрабатывает переданные пользователем строки кода через встроенные функции exec() и compile() без аутентификации и без изолирующей песочницы.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
RCE без аутентификации на сервере Langflow, утечка секретов и API-ключей к LLM-провайдерам, перехват пайплайнов обработки данных.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (37)
- github.comhttps://github.com/langflow-ai/langflow/pull/6911
- github.comhttps://github.com/langflow-ai/langflow/releases/tag/1.3.0
- www.horizon3.aihttps://www.horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/
- www.vulncheck.comhttps://www.vulncheck.com/advisories/langflow-unauthenticated-rce
- www.exploit-db.comhttps://www.exploit-db.com/exploits/52262
- www.exploit-db.comhttps://www.exploit-db.com/exploits/52364
- github.comhttps://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/http/langflow_unauth_rce_cve_2025_3248.rb
- github.comhttps://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-3248.yaml
- github.comhttps://github.com/0-d3y/langflow-rce-exploit
- github.comhttps://github.com/0xgh057r3c0n/CVE-2025-3248
- github.comhttps://github.com/12-test-12/CVE-2025-3248
- github.comhttps://github.com/Atomics-hub/exposecheck
- github.comhttps://github.com/EQSTLab/CVE-2025-3248
- github.comhttps://github.com/GraySignal/CVE-2025-3248
- github.comhttps://github.com/Kiraly07/Demo_CVE-2025-3248
- github.comhttps://github.com/LeotheGGman/Langflow-RCE-CVE-2025-3248
- github.comhttps://github.com/PuddinCat/CVE-2025-3248-POC
- github.comhttps://github.com/Vip3rLi0n/CVE-2025-3248
- github.comhttps://github.com/b0ySie7e/CVE-2025-3248-POC
- github.comhttps://github.com/bambooqj/cve-2025-3248
- github.comhttps://github.com/cpwjdgh/CVE-2025-3248-CTF-Lab
- github.comhttps://github.com/dennisec/Mass-CVE-2025-3248
- github.comhttps://github.com/drackyjr/cve-2025-3248-exploit
- github.comhttps://github.com/hideki233/CVE-2025-3248-Langflow-RCE
- github.comhttps://github.com/ill-deed/Langflow-CVE-2025-3248-Multi-target
- github.comhttps://github.com/imbas007/CVE-2025-3248
- github.comhttps://github.com/min8282/CVE-2025-3248
- github.comhttps://github.com/preemware/langflow-exploit
- github.comhttps://github.com/r0otk3r/CVE-2025-3248
- github.comhttps://github.com/tiemio/RCE-CVE-2025-3248
- github.comhttps://github.com/verylazytech/CVE-2025-3248
- github.comhttps://github.com/vigilante-1337/CVE-2025-3248
- github.comhttps://github.com/wand3rlust/CVE-2025-3248
- github.comhttps://github.com/xuemian168/CVE-2025-3248
- github.comhttps://github.com/ynsmroztas/CVE-2025-3248-Langflow-RCE
- github.comhttps://github.com/zapstiko/CVE-2025-3248
- github.comhttps://github.com/zoly-zoly/CVE-2025-3248
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2025-3248: Langflow < 1.3.0 Unauthenticated RCE via /api/v1/validate/code. URL: https://cve.futuretools.ru/cve/CVE-2025-3248
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2025_3248,
title = {{CVE-2025-3248: Langflow < 1.3.0 Unauthenticated RCE via /api/v1/validate/code}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2025-3248}},
note = {Оперативный инженерный анализ киберугроз}
}