Langflow /api/v1/validate/code 代码执行漏洞(CVE-2026-7873)

2026-11-12

Description

Langflow 是 IBM 旗下开源的低代码 AI 工作流与智能体编排平台,提供可视化画布、代码节点与组件市场,广泛用于快速搭建 LLM 应用与 RAG 流程。其代码校验端点 /api/v1/validate/code 在“校验”提交内容时并不只做语法检查,而会对内容中的每个函数定义求值执行,函数定义求值阶段即会触发装饰器与默认参数表达式,因此提交方可在校验过程中执行任意代码;在默认的 AUTO_LOGIN 单用户模式下,该端点不需要任何账户凭据即可访问。官方已在 1.10.1 版本改为只编译不执行。

Details

CVE
CVE-2026-7873 · CVE.org
Severity
严重
Type
代码执行
Published
PoC
Not yet public

PoC

None yet. Search at https://trap.biu.life/?ref=poc

References

微信搜一搜 biu.life