Cybercriminali sfruttano una vulnerabilità di Langflow per prendere il controllo dei server

Una vulnerabilità di Langflow sta venendo attivamente sfruttata per prendere il controllo dei server: a dirlo è la CISA in un advisory pubblicato lo scorso 5 maggio.

Il bug di mancata autenticazione, tracciato come CVE-2025-3248, consente a un attaccante non autenticato di prendere il controllo completo dei server Langflow e comprometterli.

Langflow è un tool open-source di programmazione visuale che aiuta gli sviluppatori a creare agenti di IA e workflow che integrano API, modelli e database. L’interfaccia drag & drop consente di aggiungere facilmente elementi al progetto, come input, prompt e output, e di scegliere il modello di IA da utilizzare. Lo strumento è ampiamente usato dalla community degli sviluppatori: su GitHub conta 63.000 fork e oltre 14.000 utenti.

A individuare la vulnerabilità sono stati i ricercatori di Horizon3.ai. Il tool consente di eseguire codice remoto anche agli utenti non autenticati e non prevede meccanismi di sandboxing. Il team di Horizon3.ai ha analizzato il codice per capire l’impatto di queste scelte architetturali e ha individuato l’endpoint per l’esecuzione remota, /api/v1/validate/code, che esegue il comando exec di Python sull’input dell’utente senza una corretta validazione.

Tramite questo endpoint, l’input dell’utente viene eseguito direttamente sul server, consentendo a un attaccante di eseguire qualsiasi comando. Sfruttare la vulnerabilità non è in realtà così semplice, ma utilizzando le funzioni decorator di Python è possibile iniettare un payload malevolo per compromettere il server. 

Il team dietro il progetto ha rilasciato una fix per il bug nella versione 1.3.0 pubblicata il 31 marzo scorso. I ricercatori di Horizon3.ai invitano gli sviluppatori che usano il tool ad aggiornarlo il prima possibile a quella versione o all’ultima rilasciata (la 1.4.0).

“Il codice vulnerabile è presente nelle prime versioni di Langflow, fino a due anni fa, e dai nostri test sembra che molte versioni precedenti alla 1.3.0, se non tutte, sono vulnerabili” ha spiegato il team di Horizon3.ai. I ricercatori hanno inoltre affermato che la patch si limita ad aggiungere l’autenticazione per l’endpoint e che quindi il bug può essere ancora sfruttato da qualsiasi utente, anche se “questo era comunque già possibile senza la presenza della vulnerabilità“. L’unico intervento davvero efficace sarebbe quello di utilizzare meccanismi di sandboxing per isolare il codice eseguito da remoto.