EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2025-3248 Ejecución remota de código en Langflow anterior a 1.3.0 mediante /api/v1/validate/code

Langflow anterior a 1.3.0 es vulnerable a inyección de código en el endpoint /api/v1/validate/code. Un atacante remoto no autenticado puede enviar peticiones HTTP manipuladas para ejecutar código arbitrario. Se corrige en 1.3.0.

Alerta de Nureq Monitor

Detectada 19 OCT · 04:59

CVSS 3.1

9.8CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

100,0 % PERCENTIL 100

EXPLOTACIÓN ACTIVA

Sí DESDE 05/05/2025

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2025-3248

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 5 de mayo de 2025 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 26 de mayo de 2025. Se usó en campañas de ransomware. Corregirla es prioritario.

Productos y versiones afectadas

langflow-ai langflow
- hasta antes de 1.3.0

Qué hacer

Verificá si usás langflow y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

cpwjdgh/CVE-2025-3248-CTF-Lab Langflow 미인증 RCE 취약점(CVE-2025-3248) 기반 경량화 웹 해킹 CTF 문제 및 PoC 실습 환경PUBLICADO 19 OCT · 04:59

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

Abrir la calculadora completa

Descripción original

Langflow versions prior to 1.3.0 are susceptible to code injection in the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary code.

Referencias

github.com/langflow-ai/langflow/pull/6911ISSUE-TRACKING
github.com/langflow-ai/langflow/releases/tag/1.3.0RELEASE-NOTES
www.horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-u…EXPLOIT
www.vulncheck.com/advisories/langflow-unauthenticated-rceTHIRD-PARTY-ADVISORY
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-3248GOVERNMENT-RESOURCE

Historial de la alerta

19 OCT · 04:59EXPLOIT PÚBLICO Se publicó el repositorio cpwjdgh/CVE-2025-3248-CTF-Lab.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.