Descripción
Langflow contiene una vulnerabilidad de falta de autenticación en el endpoint /api/v1/validate/code que permite a un atacante remoto no autenticado ejecutar código arbitrario mediante solicitudes HTTP especialmente manipuladas.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad afecta a un proyecto de código abierto común, una biblioteca de terceros o un protocolo utilizado por distintos productos. Para más información, consulte github.com/advisories/GHSA-c995-4fw3-j39m
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-3248
Ver el texto original en inglés (CISA)
Langflow Missing Authentication Vulnerability
Langflow contains a missing authentication vulnerability in the /api/v1/validate/code endpoint that allows a remote, unauthenticated attacker to execute arbitrary code via crafted HTTP requests.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability affects a common open-source project, third-party library, or a protocol used by different products. For more information, please see: https://github.com/advisories/GHSA-c995-4fw3-j39m ; https://nvd.nist.gov/vuln/detail/CVE-2025-3248
Otras vulnerabilidades de Langflow en el catálogo
- CVE-2026-0770 Vulnerabilidad de inclusión de funcionalidad desde una esfera de control no confiable en Langflow Alta 21-07-2026
- CVE-2026-55255 Vulnerabilidad de omisión de autorización mediante clave controlada por el usuario en Langflow Alta 07-07-2026
- CVE-2025-34291 Vulnerabilidad de error de validación de origen en Langflow Alta 21-05-2026
- CVE-2026-33017 Vulnerabilidad de inyección de código en Langflow Alta 25-03-2026