CVE-2025-68477 in langflow
Resumen
por VulDB • 2026-05-22
Langflow es una herramienta para construir y desplegar agentes y flujos de trabajo impulsados por IA. Antes de la versión 1.7.0, Langflow proporciona un componente de solicitud de API (API Request) que puede emitir solicitudes HTTP arbitrarias dentro de un flujo. Este componente toma una URL proporcionada por el usuario, realiza únicamente normalización y comprobaciones básicas de formato, y luego envía la solicitud utilizando un cliente httpx del lado del servidor. No bloquea rangos de IP privadas (127[.]0[.]0[.]1, los rangos 10/172/192) ni puntos finales de metadatos de la nube (169[.]254[.]169[.]254), y devuelve el cuerpo de la respuesta como resultado. Dado que los puntos finales de ejecución de flujos (/api/v1/run, /api/v1/run/advanced) pueden invocarse con solo una clave de API, si un atacante puede controlar la URL de la solicitud de API en un flujo, es posible realizar una SSRF no ciega (SSRF no-blind), accediendo a recursos internos desde el contexto de red del servidor. Esto permite realizar solicitudes a, y recopilar respuestas de, puntos finales administrativos internos, servicios de metadatos y bases de datos/servicios internos, lo que conduce a la divulgación de información y proporciona un punto de apoyo para ataques posteriores. La versión 1.7.0 contiene un parche para este problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.