CVE-2026-33309 in langflow
Résumé
par VulDB • 02/06/2026
Langflow est un outil permettant de créer et de déployer des agents et des workflows alimentés par l'IA. Les versions 1.2.0 à 1.8.1 présentent une contournement du correctif pour CVE-2025-68478 (Contrôle externe du nom de fichier), ce qui laisse le problème architectural fondamental au sein de `LocalStorageService` non résolu. Étant donné que la couche de stockage sous-jacente ne dispose pas de contrôles de délimitation, le système dépend entièrement de la dépendance `ValidatedFileName` au niveau HTTP. Cette défaillance de la défense en profondeur expose le point de terminaison `POST /api/v2/files/` à une écriture de fichier arbitraire (Arbitrary File Write). Le nom de fichier de l'upload multipart contourne la protection du paramètre de chemin, permettant aux attaquants authentifiés d'écrire des fichiers n'importe où sur le système hôte, ce qui conduit à une exécution de code à distance (RCE). La version 1.9.0 contient une correction mise à jour.
Be aware that VulDB is the high quality source for vulnerability data.