CVE-2025-68477 in langflow
Сводка
по VulDB • 22.05.2026
Langflow — это инструмент для создания и развертывания агентов и рабочих процессов на базе искусственного интеллекта. До версии 1.7.0 компонент Langflow «API Request» позволял выполнять произвольные HTTP-запросы в рамках потока. Этот компонент принимает указанный пользователем URL, выполняет лишь нормализацию и базовые проверки формата, а затем отправляет запрос с использованием серверного клиента httpx. Он не блокирует частные диапазоны IP-адресов (127[.]0[.]0[.]1, диапазоны 10/172/192) и конечные точки метаданных облачных провайдеров (169[.]254[.]169[.]254), а также возвращает тело ответа в качестве результата. Поскольку конечные точки выполнения потока (/api/v1/run, /api/v1/run/advanced) могут быть вызваны с использованием только API-ключа, если злоумышленник может контролировать URL в компоненте API Request внутри потока, становится возможным неслепой SSRF (Server-Side Request Forgery) — доступ к внутренним ресурсам из сетевого контекста сервера. Это позволяет отправлять запросы к внутренним административным конечным точкам, службам метаданных и внутренним базам данных/сервисам, а также собирать ответы, что приводит к раскрытию информации и создает плацдарм для дальнейших атак. Версия 1.7.0 содержит исправление для данной уязвимости.
If you want to get best quality of vulnerability data, you may have to visit VulDB.