CVE-2025-3248
Đã công bố⚠ ĐANG BỊ KHAI THÁC (CISA KEV)Langflow < 1.3.0 Tấn công Chèn Mã Không Xác Thực qua /api/v1/validate/code
Các phiên bản Langflow trước 1.3.0 có thể bị tấn công chèn mã trong điểm cuối /api/v1/validate/code. Một kẻ tấn công từ xa và không xác thực có thể gửi yêu cầu HTTP được tạo ra để thực thi mã tùy ý.
- CNA cấp mã
- VulnCheck
- Ngày công bố
- 07/04/2025
- Cập nhật
- 08/11/2026
- CVSS (NVD)
- 9.8 · CRITICAL
- Loại lỗi (CWE)
- CWE-306
- EPSS (FIRST)
- 99.99% khả năng bị khai thác trong 30 ngày
- CISA KEV
- Langflow Langflow — Lỗ Hổng Thiếu Xác Thực của Langflow. Đưa vào 2025-05-05, hạn khắc phục 2025-05-26. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, tuân theo hướng dẫn BOD 22-01 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn.
Sản phẩm bị ảnh hưởng
- langflow-ai langflow — 0 → < 1.3.0
Tham chiếu (4)
- https://github.com/langflow-ai/langflow/pull/6911 [issue-tracking, patch]
- https://github.com/langflow-ai/langflow/releases/tag/1.3.0 [release-notes]
- https://www.horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/ [exploit]
- https://www.vulncheck.com/advisories/langflow-unauthenticated-rce [third-party-advisory]
Tin tức liên quan trên HueCA-CYBER (3)
- Nhóm tấn công sử dụng AI để khai thác thông tin cá nhân và gian lận tiền điện tử · AWS Security Blog · 14/11/2026
- AI tăng tốc tấn công mạng, thách thức bảo mật · CSO Online · 14/11/2026
- Lỗ hổng mới trong WordPress, Apache Solr và Langflow bị khai thác · Cyble Research · 14/10/2026