CVE-2026-33309 in langflow
Zusammenfassung
von VulDB • 02.06.2026
Langflow ist ein Tool zum Erstellen und Bereitstellen von KI-gestützten Agenten und Workflows. Die Versionen 1.2.0 bis 1.8.1 weisen eine Umgehung des Patches für CVE-2025-68478 (Externe Steuerung des Dateinamens) auf, wodurch das zugrunde liegende architektonische Problem in `LocalStorageService` ungelöst bleibt. Da die zugrunde liegende Speicherschicht keine Prüfungen zur Begrenzung des Speicherbereichs (Boundary Containment Checks) enthält, verlässt sich das System ausschließlich auf die HTTP-Ebene `ValidatedFileName`-Abhängigkeit. Dieser Fehler in der Defense-in-Depth-Strategie macht den Endpunkt `POST /api/v2/files/` anfällig für beliebiges Dateischreiben (Arbitrary File Write). Der Dateiname beim Multipart-Upload umgeht die Pfadparameter-Schutzfunktion, sodass authentifizierte Angreifer Dateien überall auf dem Hostsystem schreiben können, was zu Remote Code Execution (RCE) führt. Die Version 1.9.0 enthält einen aktualisierten Fix.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.