Descripción
Langflow contiene una vulnerabilidad de error de validación de origen en la que una configuración CORS excesivamente permisiva, combinada con una cookie de token de actualización configurada como SameSite=None, permite que una página web maliciosa realice solicitudes de origen cruzado que incluyen credenciales y llame con éxito al endpoint de actualización. Esto podría permitir al atacante ejecutar código arbitrario y comprometer completamente el sistema mediante los tokens obtenidos, que otorgan acceso a endpoints autenticados.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad podría afectar a un componente de código abierto, una biblioteca de terceros, un protocolo o una implementación propietaria que podría ser utilizada por distintos productos. Para más información, consulte github.com/langflow-ai/langflow
- Aviso de github.com github.com/langflow-ai/langflow/releases/tag/v1.9.3
- Aviso de github.com github.com/langflow-ai/langflow/issues/11465
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-34291
Ver el texto original en inglés (CISA)
Langflow Origin Validation Error Vulnerability
Langflow contains an origin validation error vulnerability in which an overly permissive CORS configuration combined with a refresh token cookie configured as SameSite=None allows a malicious webpage to perform cross-origin requests that include credentials and successfully call the refresh endpoint. This could allow the attacker to execute arbitrary code and achieve full system compromise via obtained tokens that permit access to authenticated endpoints.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability could affect an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/langflow-ai/langflow ; https://github.com/langflow-ai/langflow/releases/tag/v1.9.3; https://github.com/langflow-ai/langflow/issues/11465#event-25774545848 ; https://nvd.nist.gov/vuln/detail/CVE-2025-34291
Otras vulnerabilidades de Langflow en el catálogo
- CVE-2026-0770 Vulnerabilidad de inclusión de funcionalidad desde una esfera de control no confiable en Langflow Alta 21-07-2026
- CVE-2026-55255 Vulnerabilidad de omisión de autorización mediante clave controlada por el usuario en Langflow Alta 07-07-2026
- CVE-2026-33017 Langflow Code Injection Vulnerability Alta 25-03-2026
- CVE-2025-3248 Langflow Missing Authentication Vulnerability Alta 05-05-2025