CVE-2025-3248
Las versiones de Langflow anteriores a 1.3.0 son susceptibles a inyección de código en el endpoint /api/v1/validate/code. Un atacante remoto y no autenticado puede enviar solicitudes HTTP manipuladas para ejecutar código arbitrario.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 5 may 2025
- Las agencias federales de EE. UU. deben corregirla antes del 26 may 2025 (BOD 22-01)
- Primer ataque observado 4 días después de la divulgación
- Confirmada por sensores, no solo por informes
- Utilizada en campañas de ransomware
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Fuente: CISA KEV · 26 oct 2026 25 oct 2026 25 oct 2026 24 oct 2026 24 oct 2026 23 oct 2026
Puntuación CVSS9.8 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HTipo de debilidad (CWE)CWE-306, CWE-94, CWE-306
Fabricanteslangflow
Productos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| langflow | langflow | < 1.3.0 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.