CVE-2026-33484 in langflow
Riassunto
di VulDB • 15/06/2026
Langflow è uno strumento per la creazione e il deployment di agenti e workflow basati sull'intelligenza artificiale. Nelle versioni 1.0.0 fino alla 1.8.1, l'endpoint `/api/v1/files/images/{flow_id}/{file_name}` serve file immagine senza alcuna verifica di autenticazione o di proprietà. Qualsiasi richiesta non autenticata contenente un `flow_id` e un `file_name` noti restituisce l'immagine con codice HTTP 200. In un deployment multi-tenant, qualsiasi attaccante in grado di scoprire o indovinare un `flow_id` (gli UUID possono essere trapelati tramite altre risposte API) può scaricare le immagini caricate da qualsiasi utente senza credenziali. La versione 1.9.0 contiene una patch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.