CVE-2026-33017

O Langflow, um construtor visual para agentes e fluxos de trabalho de IA, expõe um endpoint POST /api/v1/build_public_tmp/{flow_id}/flow que é intencionalmente não autenticado para que fluxos públicos possam ser construídos. A falha é que, quando o parâmetro opcional data é fornecido, o endpoint confia nesses dados de fluxo controlados pelo atacante em vez do fluxo armazenado no banco de dados. As definições de nós de fluxo podem conter código Python, e esse código é entregue ao exec() sem sandboxing, de modo que um atacante não autenticado que poste um fluxo elaborado alcança execução remota de código direta no servidor.

Instâncias do Langflow são cada vez mais colocadas em pé para prototipar e hospedar fluxos de trabalho de agentes de IA, frequentemente expostas à rede para colaboração e não endurecidas como serviços de produção, e frequentemente contêm chaves de API e credenciais dos provedores de modelo e ferramentas que os fluxos orquestram. Isso torna um RCE não autenticado um caminho direto tanto para o comprometimento do servidor quanto para o roubo de segredos. Atualize para o Langflow 1.9.0 ou posterior e, até lá, mantenha qualquer instância fora da internet pública e atrás de um proxy com autenticação. Como o endpoint vulnerável é não autenticado por design, revise os servidores expostos em busca de processos inesperados e exfiltração de credenciais armazenadas.