Langflow · Langflow
CVE-2025-3248
Langflow < 1.3.0 Unauthenticated RCE via /api/v1/validate/code
De quoi s'agit-il
Langflow versions prior to 1.3.0 are susceptible to code injection in
the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary
code.
CISA: Langflow contains a missing authentication vulnerability in the /api/v1/validate/code endpoint that allows a remote, unauthenticated attacker to execute arbitrary code via crafted HTTP requests.
Que faire
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 26 mai 2025
- Ajoutée à la liste de la CISA
- 5 mai 2025
- Publiée
- 7 avril 2025
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- >99,9% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-306
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (4)
Autres failles exploitées chez Langflow
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 21 juil. 2026 | Inclusion of Functionality from Untrusted Control Sphere | Langflow | Critique 9,8 | 63% |
| 7 juil. 2026 | Authorization Bypass Through User-Controlled Key | Langflow | Élevé 8,4 | 0,9% |
| 21 mai 2026 | Origin Validation Error | Langflow | Critique 9,4 | 93% |
| 25 mars 2026 | Code Injection | Langflow | Critique 9,3 | 96% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.