Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Langflow versies ouder dan 1.3.0 zit een fout in het onderdeel /api/v1/validate/code. Een aanvaller kan daar zonder in te loggen een speciaal opgesteld verzoek naartoe sturen en zo eigen code laten uitvoeren op de server. Het lek wordt actief misbruikt, er is publieke exploitcode beschikbaar en het wordt in verband gebracht met ransomware-aanvallen.
Wie loopt risico?
Je loopt risico als je een Langflow-versie ouder dan 1.3.0 draait en de server via het netwerk bereikbaar is. Een aanvaller heeft geen account of hulp van een gebruiker nodig. Vooral installaties die vanaf internet bereikbaar zijn, lopen risico.
Wat moet je doen?
Controleer je versie
Kijk na of je Langflow gebruikt en welke versie draait. Versies ouder dan 1.3.0 zijn kwetsbaar.
Werk bij naar 1.3.0
Installeer Langflow 1.3.0, waarin dit lek is opgelost. Controleer daarna of de nieuwe versie echt draait.
Beperk de bereikbaarheid
Zet Langflow niet open op internet als dat niet nodig is. Laat toegang alleen toe via een intern netwerk of VPN, zeker zolang je nog niet kunt bijwerken.
Kijk naar tekenen van misbruik
Bekijk de logboeken van de server op vreemde verzoeken aan /api/v1/validate/code en op onverwachte processen. Heb je aanwijzingen voor misbruik, laat dan een beveiligingsspecialist de server onderzoeken.
Kun je niet bijwerken?
Volg dan het advies van de leverancier. Kan een maatregel niet worden toegepast, stop dan met het gebruik van het product, zoals ook de Amerikaanse overheidsdienst CISA adviseert.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het eindpunt /api/v1/validate/code van Langflow vereist geen authenticatie, terwijl het door de gebruiker aangeleverde code verwerkt. Daardoor kan een niet-geauthenticeerde aanvaller via het netwerk een speciaal opgesteld HTTP-verzoek sturen dat leidt tot code-injectie en het uitvoeren van willekeurige code op de server. De aanval vereist geen gebruikersinteractie en is volgens de CVSS-vector laag in complexiteit (AV:N/AC:L/PR:N/UI:N). Gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn hoog. De fout is geclassificeerd als CWE-306 en is verholpen in Langflow 1.3.0. Er is publieke exploitcode en het lek staat in de CISA-catalogus van actief misbruikte kwetsbaarheden.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een kritieke functie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 100,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 5 mei 2025
- Deadline van CISA
- 26 mei 2025
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA