- Aktif istismar
- Yama var
- CWE-94
- CWE-306
CVE-2025-3248
Langflow'da kimlik doğrulamasız uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 8 Eki 2026
- Açık yaşı
- 569 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Langflow'un eski sürümleri, internetten herhangi biri tarafından şifresiz biçimde ele geçirilebilir ve açık şu anda saldırganlarca aktif olarak kullanılmaktadır. Başarılı bir saldırı, sunucudaki verilerin çalınmasına veya sistemin kötüye kullanılmasına neden olabilir. Güncellemenin gecikmeden yapılması gerekir.
ÖzetTürkçe
Langflow'un 1.3.0 öncesi sürümlerinde, /api/v1/validate/code uç noktasında bir kod enjeksiyonu açığı bulunmaktadır. Uzaktan ve kimlik doğrulaması yapmadan erişebilen bir saldırgan, özel hazırlanmış HTTP istekleriyle sunucuda rastgele kod çalıştırabilir. Bu açık CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir ve aktif olarak istismar edilmektedir. 1.3.0 öncesi Langflow kullanan tüm kurulumlar etkilenir.
Saldırgan ne yapabilir?
Saldırgan, oturum açmadan Langflow sunucusunda istediği kodu çalıştırarak sistemin tam denetimini ele geçirebilir. Bu durum verilerin okunmasına, değiştirilmesine ve hizmetin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Langflow versions prior to 1.3.0 are susceptible to code injection in
the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary
code.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Langflow'u derhal 1.3.0 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme hemen mümkün değilse Langflow'a internetten erişimi kapatın veya erişimi güvenlik duvarı ile yalnızca güvenilir adreslerle sınırlayın. Genel öneri
- Satıcı talimatlarına göre azaltma önlemlerini uygulayın; bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin. Önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Sistemin daha önce ele geçirilmiş olabileceğini varsayarak sunucuyu olağan dışı süreçler, yeni kullanıcılar ve şüpheli giden bağlantılar açısından inceleyin. Genel öneri
Ek önlemler
- Langflow gibi yapay zekâ ve iş akışı araçlarını doğrudan internete açmayın; ters vekil sunucu, VPN veya kimlik doğrulaması arkasında çalıştırın. Genel öneri
- Web sunucusu ve uygulama günlüklerinde /api/v1/validate/code uç noktasına gelen şüpheli istekleri izleyin. Genel öneri
- Langflow'un çalıştığı hesabı en az yetkiyle çalıştırın ve ortamdaki API anahtarları ile gizli bilgileri, sistem ele geçirilmiş olabileceği ihtimaline karşı yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| langflow-ai langflow | < 1.3.0 | 1.3.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/langflow-ai/langflow/pull/6911 Üçüncü taraf
- vulncheck.com/advisories/langflow-unauthenticated-rce Üçüncü taraf
- horizon3.ai/…sing-python-exec-for-unauth-rce-in-langflow-ai İstismar kodu ya da analiz
- github.com/langflow-ai/langflow/releases/tag/1.3.0 Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.