CVE-2026-33017

Langflow, un constructor visual de agentes y flujos de trabajo de IA, expone un endpoint POST /api/v1/build_public_tmp/{flow_id}/flow que es intencionalmente no autenticado para que se puedan construir flujos públicos. La falla es que, cuando se suministra el parámetro opcional data, el endpoint confía en esos datos de flujo controlados por el atacante en lugar del flujo almacenado en la base de datos. Las definiciones de nodos del flujo pueden contener código Python, y ese código se entrega a exec() sin sandboxing, así que un atacante no autenticado que publique un flujo diseñado logra ejecución remota de código directa en el servidor.

Las instancias de Langflow se levantan cada vez más para prototipar y alojar flujos de trabajo de agentes de IA, a menudo expuestas a la red para la colaboración y sin fortalecerse como servicios de producción, y con frecuencia contienen claves de API y credenciales de los proveedores de modelos y herramientas que orquestan los flujos. Eso convierte un RCE no autenticado en una ruta directa tanto al compromiso del servidor como al robo de secretos. Actualice a Langflow 1.9.0 o posterior y, hasta entonces, mantenga cualquier instancia fuera de la internet pública y detrás de un proxy con autenticación. Como el endpoint vulnerable es no autenticado por diseño, revise los servidores expuestos en busca de procesos inesperados y exfiltración de credenciales almacenadas.