大型語言模型開發工具Langflow存在重大漏洞，未經驗證的攻擊者可用於執行任意程式碼
漏洞概述
圖像化大型語言模型（LLM）開發工具Langflow存在遠端程式碼執行（RCE）漏洞，識別為CVE-2025-3248。該漏洞發生在Langflow 1.3.0版本之前，攻擊者可透過未受保護的API端點（如/api/v1/validate/code）提交精心構造的HTTP請求，執行任意Python程式碼。
漏洞成因
漏洞的根本原因在於系統設計時缺乏適當的安全控管，特別是在程式碼驗證流程中，未對輸入參數進行嚴格驗證與認證，導致攻擊者可利用此缺陷提交惡意程式碼，並在伺服器上執行。
實際影響與利用
- 美國CISA已證實，此漏洞已被實際用於攻擊行動，並被列為已知被利用漏洞（KEV）。
- 攻擊者可透過此漏洞完全入侵系統，發動DDoS攻擊，並可能導致資料外洩或伺服器被用於建立殭屍網路（如Flodrix）。
- 該漏洞被積極用於散佈Flodrix殭屍網路，顯示其對企業與開發者的嚴重安全威脅。