Langflow CVE-2025-3248: actualiza a 1.3.0 o sácalo de internet
La falta de login en una ruta de validación de código de Langflow se volvió un fallo explotado conocido en mayo de 2025. El arreglo es la versión 1.3.0 o posterior, más un límite de red.
NVD describe CVE-2025-3248 como inyección de código en Langflow anterior a 1.3.0. Un llamador remoto sin autenticación podía ejecutar código enviando una petición a una ruta de validación que no pedía login. La puntuación CVSS 3.1 del registro es 9,8.
CISA lo añadió al catálogo de explotados el 5 de mayo de 2025, con fecha límite federal el 26 de mayo de 2025. La agencia de ciberseguridad de Singapur describió después campañas que usaban el mismo fallo para sumar equipos a botnets de denegación de servicio.
Qué estaba expuesto
Langflow es una herramienta para construir y desplegar agentes. La función vulnerable era un endpoint de validación presente, según quienes lo encontraron en Horizon3.ai, a lo largo de años de versiones. La 1.3.0 puso ese endpoint detrás de autenticación. El registro del CVE acredita a Naveen Sunkavally, de Horizon3.ai.
La autenticación en la ruta es el arreglo del fabricante. No vuelve inofensivo a un superusuario de Langflow: el producto está hecho para que los usuarios ejecuten flujos en el servidor. El CVE es el caso en que un extraño, sin cuenta, podía hacerlo.
Qué es un Langflow público
Un equipo con una versión anterior a 1.3.0 y alcanzable desde internet era ejecución remota de código para quien preguntara. Los investigadores contaron cientos de instancias expuestas cuando cayó la ficha del catálogo. Una demo en un portátil es otro riesgo que el mismo contenedor con un puerto público.
La cobertura posterior ató el uso a instalación de botnets, no solo al robo de los flujos guardados en la herramienta. La posición de red del equipo es el radio: claves de nube en la máquina, rutas internas que la máquina puede abrir y los tokens de los propios agentes.
La versión que cierra el hueco
Actualiza a Langflow 1.3.0 o a cualquier versión posterior, desde el release del propio proyecto, y reinicia el servicio para que el proceso viejo ya no esté. Confirma la versión en ejecución, no la etiqueta de imagen que querías desplegar.
Si no puedes actualizar esta semana, saca el servicio de internet. Una regla de cortafuegos es una demora, no el arreglo que nombró CISA. La acción del catálogo es la mitigación del fabricante o dejar de usar el producto.
Después de la actualización
Trata cualquier Langflow que fuera alcanzable y anterior a 1.3.0 como un equipo a investigar: procesos nuevos, tareas programadas nuevas, tráfico de salida inesperado. Rota los tokens que el proceso podía leer, incluidas las claves de proveedor de modelo guardadas en el proyecto.
Pon la interfaz de administración en una red privada y exige el login que añadió la 1.3.0. No publiques un constructor de agentes porque la demo era más fácil así. Este artículo no incluye una petición que dispare el fallo.
El registro de NVD de CVE-2025-3248 y la ficha del CVE, que nombra las versiones anteriores a 1.3.0.
https://www.cve.org/CVERecord?id=CVE-2025-3248
Preguntas frecuentes
¿Qué versiones de Langflow están afectadas?
El registro del CVE dice las versiones anteriores a 1.3.0. El release que corrige es 1.3.0, que exige autenticación en la ruta de validación. Confirma el proceso que reiniciaste, no solo el archivo en disco.
¿Basta un login si me quedo en una versión vieja?
No. El fallo es que la ruta no pedía login. Una contraseña en el proxy inverso es una barrera temporal. El arreglo soportado es 1.3.0 o posterior.
¿Cuándo lo listó CISA?
El 5 de mayo de 2025, con fecha límite federal en Estados Unidos el 26 de mayo de 2025. Ya se estaba usando. Da por hecho que una instancia pública vieja necesita una mirada al equipo, no solo un cambio de versión.