Langflow: ejecución remota de código sin autenticación (CVE-2025-3248)

Fecha (divulgación)

7 de abril de 2025

Proveedor / producto

Langflow — Langflow

Tipo de agente

Constructor de flujos de agentes

Categoría

Configuración insegura / vulnerabilidad

Gravedad

crítica · pendiente de revisión

CVE

CVE-2025-3248

Resumen

Un endpoint de validación de código de Langflow permitía a cualquiera con acceso de red ejecutar Python sin autenticarse. CISA lo incluyó en su catálogo de vulnerabilidades explotadas activamente.

Mitigación

Actualizar a una versión corregida; no exponer Langflow a Internet; ponerlo detrás de autenticación y segmentación de red.

Relación normativa (orientativa)

• ENS: Relevante si la instancia da servicio a un sistema bajo ENS: gestión de vulnerabilidades y protección de servicios expuestos.

Fuente original

• https://nvd.nist.gov/vuln/detail/CVE-2025-3248
• https://horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/

Herramientas relacionadas

Listado orientativo por categoría, no una recomendación ni una afirmación de que la herramienta habría evitado el incidente.