Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-346

CVE-2025-34291

Langflow CORS yapılandırma hatası: token ele geçirme ve uzaktan kod çalıştırma

Langflow

Kritik 9,4 CVSS 4.0
Yayımlandı
Güncellendi
8 Eki 2026
Açık yaşı
326 gün
Kaydı açan
VulnCheck
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 21 May 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 4 Haz 2026.

Yönetici özeti

Langflow'un etkilenen sürümlerini kullanan bir kurumda, çalışanın kötü amaçlı bir web sayfasını ziyaret etmesi bile hesabın ele geçirilmesine ve sunucunun tamamen saldırganın kontrolüne geçmesine yol açabilir. Açığın aktif olarak istismar edildiği bilindiği için acil önlem alınmalıdır.

ÖzetTürkçe

Langflow 1.6.9 ve öncesi sürümlerde, kimlik bilgisiyle birlikte her kaynağa izin veren aşırı geniş bir CORS yapılandırması (allow_origins='*' ve allow_credentials=True) bulunuyor. Yenileme (refresh) çerezinin SameSite=None olarak ayarlanması nedeniyle, kötü amaçlı bir web sayfası kurbanın oturumu adına yenileme uç noktasına çapraz kaynaklı istek gönderebiliyor. Saldırgan bu yolla yeni access_token ve refresh_token çiftleri elde ediyor. Bu tokenlar, yerleşik kod çalıştırma işlevi dahil kimlik doğrulaması gerektiren uç noktalara erişim sağlıyor. Açık CISA KEV listesine eklenmiştir, yani aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın oturumunu ele geçirerek hesabı devralabilir ve yerleşik kod çalıştırma işlevi üzerinden sunucuda rastgele kod çalıştırarak sistemi tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

Langflow versions up to and including 1.6.9 contain a chained vulnerability that enables account takeover and remote code execution. An overly permissive CORS configuration (allow_origins='*' with allow_credentials=True) combined with a refresh token cookie configured as SameSite=None allows a malicious webpage to perform cross-origin requests that include credentials and successfully call the refresh endpoint. An attacker-controlled origin can therefore obtain fresh access_token / refresh_token pairs for a victim session. Obtained tokens permit access to authenticated endpoints — including built-in code-execution functionality — allowing the attacker to execute arbitrary code and achieve full system compromise.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Langflow kurulumlarınızın sürümünü kontrol edin; 1.6.9 ve öncesi etkilenmektedir. Satıcının yayımladığı güvenlik düzeltmelerini ve talimatlarını uygulayın. Genel öneri
  2. CISA gereği: Satıcı talimatlarına göre azaltma önlemlerini uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler mümkün değilse ürünün kullanımını bırakın. CISA
  3. Düzeltme uygulanana kadar Langflow'u internete açmayın; erişimi VPN veya IP kısıtlamasıyla yalnızca güvenilir kullanıcılara sınırlayın. Genel öneri
  4. Olası ele geçirme şüphesine karşı mevcut oturumları sonlandırın ve token'ları geçersiz kılın; ilgili sistemlerde saklanan gizli anahtarları ve API anahtarlarını yenileyin. Genel öneri

Ek önlemler

  • CORS yapılandırmasında joker karakter yerine yalnızca güvenilir kaynakları açıkça tanımlayın ve kimlik bilgisi kabulünü gereksiz yere açmayın. Genel öneri
  • Langflow'u ayrıcalıkları kısıtlanmış bir kullanıcıyla ve izole bir ortamda (konteyner veya ayrı sunucu) çalıştırın. Genel öneri
  • Yenileme uç noktasına gelen olağandışı istekleri ve kod çalıştırma işlevinin beklenmedik kullanımını günlüklerde izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Langflow ≤ 1.6.9 –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.