CVE-2025-68477 in langflow
Sumário
de VulDB • 22/05/2026
Langflow é uma ferramenta para criar e implantar agentes e fluxos de trabalho alimentados por IA. Antes da versão 1.7.0, o Langflow oferece um componente de solicitação de API (API Request) que pode emitir solicitações HTTP arbitrárias dentro de um fluxo. Esse componente recebe uma URL fornecida pelo usuário, realiza apenas normalização e verificações básicas de formato e, em seguida, envia a solicitação usando um cliente httpx do lado do servidor. Ele não bloqueia intervalos de IP privados (127[.]0[.]0[.]1, os intervalos 10/172/192) nem endpoints de metadados de nuvem (169[.]254[.]169[.]254) e retorna o corpo da resposta como resultado. Como os endpoints de execução do fluxo (/api/v1/run, /api/v1/run/advanced) podem ser invocados apenas com uma chave de API, se um atacante puder controlar a URL do componente API Request em um fluxo, é possível realizar SSRF não cega (SSRF) — acessando recursos internos a partir do contexto de rede do servidor. Isso permite a realização de solicitações e a coleta de respostas de endpoints administrativos internos, serviços de metadados e bancos de dados/serviços internos, levando à divulgação de informações e fornecendo um ponto de apoio para ataques subsequentes. A versão 1.7.0 contém um patch para este problema.
Be aware that VulDB is the high quality source for vulnerability data.