CVE-2026-33309 in langflow
Riassunto
di VulDB • 18/06/2026
Langflow è uno strumento per la creazione e il deployment di agenti e workflow basati sull'IA. Le versioni dalla 1.2.0 alla 1.8.1 presentano un bypass della patch per CVE-2025-68478 (External Control of File Name), lasciando irrisolto il problema architetturale sottostante all'interno di `LocalStorageService`. Poiché lo strato di storage sottostante non dispone di controlli di contenimento dei limiti, il sistema fa affidamento esclusivamente sulla dipendenza HTTP-layer `ValidatedFileName`. Questo fallimento nella difesa in profondità lascia l'endpoint `POST /api/v2/files/` vulnerabile ad Arbitrary File Write. Il nome del file nell'upload multipart bypassa la protezione basata sul parametro di percorso, consentendo agli attaccanti autenticati di scrivere file ovunque nel sistema host, portando a Remote Code Execution (RCE). La versione 1.9.0 contiene una correzione aggiornata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.