CVE-2026-33309 in langflow
要約
〜によって VulDB • 2026年06月01日
Langflowは、AI搭載エージェントおよびワークフローの構築とデプロイを行うツールです。バージョン1.2.0から1.8.1にかけて、CVE-2025-68478（ファイル名の外部制御）のパッチ回避が存在し、`LocalStorageService`内の根本的なアーキテクチャ上の問題が未解決のままとなっています。基盤となるストレージ層に境界 containment チェック（境界制限チェック）が欠けているため、システムはHTTP層の`ValidatedFileName`依存関係に完全に依存しています。この防御の多層化（Defense-in-Depth）の失敗により、`POST /api/v2/files/`エンドポイントは任意のファイル書き込み（Arbitrary File Write）に対して脆弱となっています。multipartアップロードのファイル名がパスパラメータのガードを回避するため、認証済み攻撃者はホストシステム上の任意の場所にファイルを書き込むことができ、結果としてリモートコード実行（RCE）につながります。バージョン1.9.0には更新された修正が含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.