A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma vulnerabilidade crítica no Langflow, rastreada como CVE-2025-34291, ao seu Catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando os riscos de exploração ativa e urgindo a remediação imediata.
A vulnerabilidade CVE-2025-34291, com pontuação CVSS de 8.8, é um erro de validação de origem no Langflow, uma ferramenta popular usada para construir e orquestrar fluxos de trabalho impulsionados por IA. A falha permite que um atacante obtenha pares de tokens de acesso e refresh para uma sessão de vítima, possibilitando a execução de código arbitrário e comprometendo totalmente o sistema.
Detalhes Técnicos
A vulnerabilidade afeta versões do Langflow até e incluindo a 1.6.9.
A configuração CORS excessivamente permissiva combinada com um cookie de token de refresh configurado como SameSite=None permite que uma página da web maliciosa faça solicitações entre origens que incluem credenciais.
Um atacante pode obter pares de tokens de acesso e refresh para uma sessão de vítima, permitindo acesso a endpoints autenticados, incluindo funcionalidade de execução de código.
Ações Recomendadas
Atualizar o Langflow para uma versão segura.
Implementar medidas de segurança para proteger contra ataques de cross-origin.
Monitorar sistemas para detectar possíveis explorações.
