Wstrzyknięcie kodu w Langflow umożliwia zdalne wykonanie dowolnego kodu przez atakującego.
CVE-2025-3248
Producent w źródle: langflow
Pilne działanie — dlaczego?
Potwierdzone wykorzystanie · CISA KEV
Zweryfikuj dopasowanie i zalecenia w pierwszej kolejności. Rekomendacja dotyczy rekordu w źródłach; nie potwierdza podatności Twojego zasobu.
Co to oznacza?
Wstrzyknięcie kodu w Langflow umożliwia zdalne wykonanie dowolnego kodu przez atakującego.
Automatyczne streszczenie · zweryfikuj opis źródłowy poniżej.Czy może mnie dotyczyć?
Sprawdź producenta, dokładny produkt, wersję i konfigurację w oficjalnym opisie. Dopasowanie kategorii lub producenta jest orientacyjne.
Inne podatności producenta langflow →Co sprawdzić i zrobić?
- Potwierdź, czy używasz produktu i dotkniętej wersji.
- Sprawdź aktualne advisory, poprawkę i ewentualne środki ograniczające ryzyko u producenta.
- Jeśli podatność Cię dotyczy, zaplanuj zmianę i weryfikację zgodnie z procedurą organizacji.
Nie mamy potwierdzonego advisory producenta. Zacznij od referencji NVD i sprawdź źródło zalecenia.
Dane techniczne i opis źródłowy
- CVSS 3.1
- 9,8 · [email protected]
- Wektor CVSS
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- EPSS
- 99,99 % · model z 2026-10-09
- Polityka rekomendacji
- action-2026-10-p1
- Przechowywanie
- Bieżący rekord
Opis NVD
Langflow versions prior to 1.3.0 are susceptible to code injection in the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary code.
EPSS opisuje prognozowane prawdopodobieństwo zaobserwowania wykorzystania w ciągu kolejnych 30 dni. Nie jest prawdopodobieństwem włamania do Twojego urządzenia.
Referencje źródłowe
- github.com ↗Patch
- github.com ↗Release Notes
- www.horizon3.ai ↗Exploit · Third Party Advisory
- www.vulncheck.com ↗Third Party Advisory
- www.cisa.gov ↗US Government Resource