• 漏洞编号：CVE-2025-34291
• 漏洞等级：高危
• 漏洞标签：CISA KEV、在野利用、POC公开、关键漏洞
• 发布时间：2025-12-05

漏洞描述

Langflow 1.6.9 及更早版本存在一个链式漏洞，该漏洞可导致账户被盗用并执行远程代码。过于宽松的 CORS 配置（allow\_origins\='\*' 且 allow\_credentials\=True）与配置为 SameSite\=None 的刷新令牌 cookie 相结合，使得恶意网页能够执行包含凭据的跨域请求并成功调用刷新端点。因此，攻击者控制的源站可以获取受害者会话的最新access\_token/refresh\_token对。获取的令牌允许访问已认证的端点（包括内置的代码执行功能），从而使攻击者能够执行任意代码并实现系统完全控制。

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/431266