Langflow < 1.3.0 Unauthenticated RCE via /api/v1/validate/code

Las versiones de Langflow anteriores a la 1.3.0 permiten que cualquier persona en internet ejecute código malicioso en el servidor sin iniciar sesión, enviando solicitudes especialmente diseñadas a un endpoint de validación de código. Esto es crítico porque los atacantes pueden obtener control total del sistema afectado.

Un atacante remoto no autenticado puede explotar inyección de código en el endpoint /api/v1/validate/code para lograr ejecución arbitraria de código en el servidor. La vulnerabilidad existe debido a validación insuficiente de entrada en la lógica de validación de código, requiriendo solo acceso de red al endpoint vulnerable; la explotación exitosa garantiza compromiso total del sistema.