CVE-2026-33017-Lab

CVE-2026-33017 — Langflow 未认证 RCE 实验环境 执行摘要 CVE-2026-33017 是 Langflow 中的一个未认证远程代码执行（RCE）漏洞，其公开构建端点接受攻击者控制的流程数据，允许自定义组件代码在服务器上执行。 在本实验环境中，验证流程如下： 1. 通过自动登录流程获取访问令牌 2. 创建一个新的 PUBLIC 流程 3. 将攻击者控制的组件代码发送到公开构建端点 4. 接收一个 jobid 5. 通过构建事件 API 轮询结果 6. 直接从组件输出中读取证明对象 证明对象直接通过 Langflow API...