CVE-2026-33017-Langflow-RCE-PoC

CVE-2026-33017-Langflow-RCE-PoC Langflow 1.8.1 及更早版本中的漏洞允许远程、未认证的攻击者在主机上实现任意命令执行。 描述 POST /api/v1/buildpublictmp/flowid/flow 端点允许任何人无需认证即可构建公共流程。 通过提供可选的 data 参数，攻击者可以用自己精心构造的定义覆盖存储的流程，并在节点配置中嵌入任意 Python 代码。这些由用户控制的代码通过 exec 执行，且没有任何沙箱或验证机制，从而导致未认证的远程代码执行。 受影响版本 Langflow 1.8.1 及更早版本 功能特性 当...