Die Schwachstelle betrifft die Funktion „Shareable Playground“ (im Code als „Public Flows“ bezeichnet) von Langflow, einem Werkzeug zum Erstellen und Betreiben von KI-gestützten Agenten und Workflows. Diese Funktion erlaubt es, hinterlegte Workflows über einen geteilten Link auszuführen – und zwar durch nicht angemeldete Nutzer. Für einen öffentlich freigegebenen Workflow lässt sich dessen Ausführung ohne Authentifizierung anstoßen. Dabei liegt das eigentliche Problem darin, dass sich in den übergebenen Daten der einzelnen Workflow-Knoten beliebiger Python-Code als Knoten-Code mitgeben lässt. Wird der Workflow ausgeführt, führt der Server diesen eingeschleusten Code aus. Im Ergebnis kann ein aus der Ferne agierender, unauthentifizierter Angreifer eigenen Programmcode auf dem Server ausführen und so das System übernehmen (Remote Code Execution). Betroffen sind Installationen, bei denen die Funktion zum Teilen öffentlicher Workflows aktiv und erreichbar ist.