Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

CVE-2025-34291

plus petit que 1 minute de lecture

Mis à jour :

Exploitation de Langflow via une Mauvaise Configuration CORS

Une vulnérabilité en chaîne (CVE-2025-34291) affecte Langflow jusqu’à la version 1.6.9. Elle permet la prise de contrôle de compte et l’exécution de code à distance (RCE).

Points Clés :

  • La faille découle d’une configuration CORS trop permissive (allow_origins='*' avec allow_credentials=True).
  • Un cookie de jeton de rafraîchissement configuré avec SameSite=None est également impliqué.

Vulnérabilités :

  • CVE-2025-34291 : Mauvaise configuration CORS permettant le vol de jetons d’authentification.
  • Absence de protection CSRF sur le point de terminaison de rafraîchissement du jeton.
  • Point de terminaison de validation de code qui autorise l’exécution de code par conception.

Recommandations :

  • Mettre à jour Langflow vers une version corrigée (supérieure à 1.6.9).
  • Réviser et sécuriser la configuration CORS pour éviter la combinaison allow_origins='*' et allow_credentials=True.
  • Implémenter une protection CSRF adéquate.

Source

Vous pourriez aimer