CVE-2026-33017
Langflow Code Injection Vulnerability
Beschreibung
CVE-2026-33017 ist eine KRITISCHE Code-Injection-Schwachstelle in Langflow mit einem CVSS 3.1 Score von 9.8. In Versionen vor 1.9.0 erlaubt der POST-Endpunkt /api/v1/build_public_tmp/{flow_id}/flow das Erstellen öffentlicher Flows ohne Authentifizierung. Wenn der optionale data-Parameter mitgesendet wird, verwendet der Endpunkt die vom Angreifer kontrollierten Flow-Daten mit beliebigem Python-Code in Node-Definitionen anstelle der gespeicherten Flow-Daten. Dieser Code wird ohne jegliche Sandbox an exec() übergeben, was zu unauthentifizierter Remote-Code-Ausführung führt. Die Schwachstelle ist unter CWE-94 (Code Injection), CWE-95 (Eval Injection) und CWE-306 (Fehlende Authentifizierung) klassifiziert. Diese CVE wurde am 25.03.2026 in den CISA KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 08.04.2026. Mit einem EPSS-Score von 5,654 % (90,3. Perzentil) zeigt diese Schwachstelle eine erhebliche Ausnutzungswahrscheinlichkeit. Es wurde keine Ransomware-Verbindung bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| langflow | langflow | < 1.8.2 |
Referenzen
- https://github.com/advisories/GHSA-rvqx-wpfh-mfx7(Third Party Advisory)
- https://github.com/langflow-ai/langflow/commit/73b6612e3ef25fdae0a752d75b0fabd47328d4f0(Patch)
- https://github.com/langflow-ai/langflow/security/advisories/GHSA-vwmf-pq79-vjvx(Exploit, Mitigation, Vendor Advisory)
- https://github.com/langflow-ai/langflow/releases/tag/1.8.2(Release Notes)
- https://medium.com/@aviral23/cve-2026-33017-how-i-found-an-unauthenticated-rce-in-langflow-by-reading-the-code-they-already-dc96cdce5896(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-33017(US Government Resource)
- https://www.sysdig.com/blog/cve-2026-33017-how-attackers-compromised-langflow-ai-pipelines-in-20-hours(Press/Media Coverage)
Schwachstellentyp
CWE-94: Unsachgemäße Neutralisierung von Direktiven in dynamisch ausgewertetem Code (Code Injection)
CVE-2026-33017 ist primär unter CWE-94 — Code Injection klassifiziert. Diese Schwachstellenklasse tritt auf, wenn Software ein Codesegment ganz oder teilweise aus extern beeinflussten Eingaben erstellt, ohne spezielle Elemente zu neutralisieren, die die Syntax oder das Verhalten des vorgesehenen Codes verändern könnten. Im Fall von Langflow wird vom Angreifer bereitgestellter Python-Code in Flow-Node-Definitionen direkt an Pythons exec()-Funktion übergeben — ohne Bereinigung oder Sandboxing.
CWE-95: Unsachgemäße Neutralisierung von Direktiven in dynamisch ausgewertetem Code (Eval Injection)
Die Schwachstelle fällt zusätzlich unter CWE-95 — Eval Injection. Dies ist eine spezifischere Unterklasse von CWE-94, bei der die Anwendung dynamisch ausgewerteten Code (wie eval() oder exec()) mit extern kontrollierten Eingaben verwendet. Die direkte Nutzung von exec() auf nutzerkontrollierten Flow-Daten ist ein Lehrbuchbeispiel für Eval Injection.
CWE-306: Fehlende Authentifizierung für kritische Funktionen
Zusätzlich trifft CWE-306 — Fehlende Authentifizierung für kritische Funktionen zu, da der betroffene Endpunkt keine Authentifizierung erfordert. Die Kombination aus unauthentifiziertem Zugriff und unsandboxierter Code-Ausführung schafft eine maximal ausnutzbare Angriffsfläche, die jedem entfernten Angreifer eine vollständige Systemkompromittierung ohne Anmeldedaten ermöglicht.
Auswirkungsanalyse
CVE-2026-33017 hat einen CVSS 3.1 Score von 9.8 (KRITISCH) mit unverändertem Scope.
Vertraulichkeit (HOCH): Erfolgreiche Ausnutzung gewährt dem Angreifer vollständigen Zugriff auf alle Daten des Langflow-Servers. Durch beliebige Python-Code-Ausführung können Angreifer Konfigurationsdateien, API-Schlüssel, Datenbank-Zugangsdaten, Flow-Definitionen und alle von der Anwendung verarbeiteten sensiblen Daten auslesen.
Integrität (HOCH): Angreifer können beliebige Dateien auf dem System verändern, Flow-Definitionen manipulieren, Backdoors einschleusen, verarbeitete Daten manipulieren und persistente Malware installieren. Die uneingeschränkte Code-Ausführung ermöglicht die vollständige Modifikation der Anwendung und des zugrundeliegenden Betriebssystems.
Verfügbarkeit (HOCH): Eine vollständige Systemstörung ist möglich. Angreifer können Prozesse beenden, Daten korrumpieren, Ransomware einsetzen, Systemressourcen verbrauchen oder die Langflow-Instanz vollständig funktionsunfähig machen.
Angriffsvektor (Netzwerk): Die Schwachstelle ist remote über das Netzwerk ausnutzbar ohne spezielle Zugriffsanforderungen. Der Endpunkt ist konstruktionsbedingt öffentlich zugänglich.
Angriffskomplexität (Niedrig): Es sind keine speziellen Bedingungen erforderlich. Der Exploit ist direkt umsetzbar — eine manipulierte POST-Anfrage mit bösartigem Python-Code im Flow-Daten-Parameter genügt.
Erforderliche Privilegien (Keine) / Benutzerinteraktion (Keine): Der Angriff ist vollständig unauthentifiziert und erfordert keine Benutzerinteraktion, was ihn für automatisierte Massenausnutzung geeignet macht.
Exploit-Reifegrad
CVE-2026-33017 wird aktiv in freier Wildbahn ausgenutzt und ist im CISA KEV-Katalog gelistet.
KEV-Status: Am 25.03.2026 in den KEV-Katalog aufgenommen mit einer verpflichtenden Behebungsfrist bis zum 08.04.2026 für Bundesbehörden. Alle Organisationen, die Langflow betreiben, sollten dies als Notfallpriorität behandeln.
EPSS-Score: Der EPSS-Score von 5,654 % (90,3. Perzentil) zeigt, dass diese Schwachstelle zu den Top 10 % der am wahrscheinlichsten ausgenutzten Schwachstellen gehört. Dieser hohe Wert spiegelt die einfache Ausnutzbarkeit (unauthentifiziert, geringe Komplexität, netzwerkzugänglich) und die Verfügbarkeit von Ausnutzungstechniken wider.
Ausnutzungsmerkmale: Die Schwachstelle ist besonders gefährlich, da sie keine Authentifizierung, keine Benutzerinteraktion erfordert und eine geringe Angriffskomplexität aufweist. Die Verwendung von Pythons exec() auf angreiferkontrollierten Eingaben bietet einen trivialen Ausnutzungsweg — Angreifer betten ihren Payload einfach als Python-Code in Flow-Node-Definitionen ein.
Ransomware-Verbindung: Nach aktuellen KEV-Daten wurde keine direkte Ransomware-Kampagnenverbindung bestätigt. Die unauthentifizierte RCE-Natur dieser Schwachstelle macht sie jedoch zu einem attraktiven Ziel für Ransomware-Betreiber, die einen Erstzugang suchen.
Bedrohungslage: Langflow-Deployments, die dem Internet ausgesetzt sind, sind unmittelbar gefährdet. Organisationen sollten davon ausgehen, dass funktionierende Exploits angesichts der Einfachheit des Angriffs weitverbreitet verfügbar sind.
Behebung
- Langflow sofort aktualisieren. Aktualisieren Sie auf Langflow Version 1.9.0 oder höher. Konsultieren Sie das Langflow Security Advisory für spezifische Patch-Hinweise und Release-Notes. Versionen vor 1.8.2 sind bestätigt verwundbar.
- Netzwerkzugriff auf die Langflow-Instanz einschränken. Wenn ein sofortiges Patchen nicht möglich ist, platzieren Sie die Langflow-Anwendung hinter einem Reverse-Proxy mit Authentifizierung oder beschränken Sie den Zugriff auf vertrauenswürdige IP-Bereiche mittels Firewall-Regeln. Blockieren Sie insbesondere den öffentlichen Zugriff auf den
/api/v1/build_public_tmp/-Endpunkt. - Auf Anzeichen einer früheren Ausnutzung prüfen. Überprüfen Sie Webserver-Zugriffsprotokolle auf verdächtige POST-Anfragen an
/api/v1/build_public_tmp/*/flow-Endpunkte. Suchen Sie nach unerwarteten Prozessen, Dateien oder Netzwerkverbindungen auf dem Langflow-Server. Untersuchen Sie Systemprotokolle auf Kompromittierungsindikatoren. - Defense-in-Depth-Maßnahmen implementieren. Setzen Sie Web Application Firewall (WAF)-Regeln ein, um Anfragen mit Python-Code-Mustern in POST-Bodies zu erkennen und zu blockieren. Aktivieren Sie Runtime-Application-Monitoring und Endpoint-Detection-and-Response (EDR) auf dem Langflow-Server.
- Langflow-Deployment-Architektur überprüfen und härten. Stellen Sie sicher, dass Langflow mit minimalen Systemprivilegien läuft, möglichst in einer containerisierten oder gesandboxten Umgebung. Deaktivieren Sie das öffentliche Flow-Building, wenn es für Ihren Anwendungsfall nicht erforderlich ist.
Technische Details
CVE-2026-33017 ist eine KRITISCHE unauthentifizierte Remote-Code-Execution-Schwachstelle in Langflows Public-Flow-Building-API.
Technischer Mechanismus: Die Schwachstelle existiert im Endpunkt POST /api/v1/build_public_tmp/{flow_id}/flow. Dieser Endpunkt ist für das Erstellen (Ausführen) öffentlicher Flows vorgesehen und erfordert keine Authentifizierung. Wenn eine Anfrage den optionalen data-Parameter enthält, verwendet der Endpunkt die vom Angreifer bereitgestellten Flow-Daten anstelle der gespeicherten Flow-Definition. Langflow-Flow-Definitionen enthalten Node-Konfigurationen, die beliebigen Python-Code enthalten können. Dieser Code wird über Pythons eingebaute exec()-Funktion ohne Sandboxing, Eingabevalidierung oder Code-Einschränkung ausgeführt.
CVSS 3.1 Vektoranalyse (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H):
- Angriffsvektor (Netzwerk): Remote ausnutzbar über HTTP-Anfragen an die Langflow-API.
- Angriffskomplexität (Niedrig): Der Exploit erfordert nur eine einzelne HTTP-POST-Anfrage mit manipuliertem JSON-Payload. Keine Race-Conditions, speziellen Konfigurationen oder Vorkenntnisse über das Ziel erforderlich.
- Erforderliche Privilegien (Keine): Der verwundbare Endpunkt erfordert explizit keine Authentifizierung.
- Benutzerinteraktion (Keine): Die Ausnutzung ist vollständig automatisiert ohne erforderliche Benutzeraktion.
- Scope (Unverändert): Die Schwachstelle wird im Kontext des Langflow-Prozesses ausgeführt, wobei die Auswirkung durch beliebige Code-Ausführung effektiv den gesamten Host kompromittiert.
- CIA-Impact (alle HOCH): Beliebige Python-Code-Ausführung ermöglicht vollständigen Lesezugriff (Vertraulichkeit), beliebige Datei- und Datenmodifikation (Integrität) und Systemstörung (Verfügbarkeit).
Angriffsbeispiel: Ein Angreifer sendet eine POST-Anfrage an /api/v1/build_public_tmp/<beliebige_gültige_flow_id>/flow mit einem JSON-Body, der eine Flow-Definition mit Python-Code wie import os; os.system('reverse_shell_command') enthält. Der Server führt diesen Code als Langflow-Prozessbenutzer aus.
Häufig gestellte Fragen
Was ist CVE-2026-33017?
CVE-2026-33017 ist eine KRITISCHE Code-Injection-Schwachstelle (CVSS 9.8) in Langflow, einer Open-Source-Plattform zum Erstellen von KI-Workflows. Die Schwachstelle ermöglicht es unauthentifizierten entfernten Angreifern, beliebigen Python-Code auf dem Server auszuführen, indem sie manipulierte Flow-Daten an einen öffentlichen API-Endpunkt senden. Sie wurde am 25.03.2026 in den CISA KEV-Katalog aufgenommen.
Welche Versionen von Langflow sind betroffen?
Alle Langflow-Versionen vor 1.9.0 sind betroffen. Organisationen sollten sofort auf Version 1.9.0 oder höher aktualisieren. Die Schwachstelle betrifft speziell den Public-Flow-Building-Endpunkt, sodass jedes Deployment mit erreichbarem Endpunkt gefährdet ist — unabhängig von anderen Konfigurationseinstellungen.
Wie wird CVE-2026-33017 ausgenutzt?
Ein Angreifer sendet eine POST-Anfrage an den Endpunkt /api/v1/build_public_tmp/{flow_id}/flow mit einem manipulierten data-Parameter, der bösartigen Python-Code in Flow-Node-Definitionen enthält. Da der Endpunkt keine Authentifizierung erfordert und der Code ohne Bereinigung an Pythons exec() übergeben wird, erreicht der Angreifer vollständige Remote-Code-Ausführung. Es sind keine speziellen Tools oder Privilegien erforderlich.
Wie schütze ich mich vor CVE-2026-33017?
Die primäre Gegenmaßnahme ist das Upgrade auf Langflow 1.9.0 oder höher. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Langflow-Instanz — insbesondere den /api/v1/build_public_tmp/-Endpunkt. Platzieren Sie Langflow hinter einem Authentifizierungs-Proxy, setzen Sie WAF-Regeln ein und überwachen Sie auf Ausnutzungsversuche. Überprüfen Sie Serverprotokolle auf Anzeichen einer früheren Kompromittierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.