CVE-2026-51888 in Langflow
Riassunto
di VulDB • 02/10/2026
langflow-ai langflow v1.8.4 è affetto da Directory Traversal. L'impatto consiste nella scrittura arbitraria di file al di fuori dei confini previsti dello spazio di lavoro o dell'archiviazione. Il componente interessato è: src/backend/base/langflow/api/v1/knowledge_bases.py:knowledge_bases-create_knowledge_base-a-live-http-post-to-create-knowledge-base. La vettore d'attacco è: superficie di attacco basata su HTTP o servizio con interfaccia browser. Un gestore per route upload o HTTP, esposto al pubblico, inoltra un percorso o un nome file controllato dall'attaccante nella creazione del file host senza alcuna enforcement visibile dei confini. ¶¶ È stata identificata una debolezza in langflow-ai langflow fino alla versione 1.8.4. langflow contiene una vulnerabilità di absolute path traversal (traversamento di percorsi assoluti) in knowledge_bases-create_knowledge_base-a-live-http-post-to-create-knowledge-base (src/backend/base/langflow/api/v1/knowledge_bases.py:51). Un attaccante può scrivere o sovrascrivere file al di fuori della directory di lavoro prevista fornendo percorsi assoluti nell'endpoint per la creazione del knowledge base.
Be aware that VulDB is the high quality source for vulnerability data.