CVE-2026-33309 in langflow
요약
\~에 의해 VulDB • 2026. 06. 02.
Langflow는 AI 기반 에이전트 및 워크플로우를 구축하고 배포하기 위한 도구입니다. 버전 1.2.0부터 1.8.1까지에는 CVE-2025-68478(파일 이름의 외부 제어) 패치 우회가 존재하여, `LocalStorageService` 내의 근본적인 아키텍처 문제가 해결되지 않은 상태로 남아 있습니다. 하위 스토리지 계층에 경계 제한 검사(boundary containment checks)가 누락되어 시스템은 HTTP 계층의 `ValidatedFileName` 의존성에 완전히 의존합니다. 이러한 다층 방어(defense-in-depth) 실패로 인해 `POST /api/v2/files/` 엔드포인트가 임의 파일 쓰기(Arbitrary File Write)에 취약해집니다. multipart 업로드 파일 이름이 경로 파라미터 가드(path-parameter guard)를 우회하여, 인증된 공격자가 호스트 시스템의 어디에나 파일을 작성할 수 있게 되며, 이는 원격 코드 실행(RCE)으로 이어집니다. 버전 1.9.0에는 업데이트된 수정 사항이 포함되어 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.