CVE-2026-33484 in langflow
요약
\~에 의해 VulDB • 2026. 05. 10.
Langflow는 AI 기반 에이전트 및 워크플로우를 구축하고 배포하기 위한 도구입니다. 버전 1.0.0부터 1.8.1까지 `/api/v1/files/images/{flow_id}/{file_name}` 엔드포인트는 인증이나 소유권 확인 없이 이미지 파일을 제공합니다. 알려진 `flow_id`와 `file_name`을 사용하는 모든 비인증 요청은 HTTP 200 상태 코드로 이미지를 반환합니다. 다중 테넌트 환경에서 공격자가 다른 API 응답을 통해 유출될 수 있는 UUID인 `flow_id`를 발견하거나 추측할 경우, 자격 증명 없이 다른 사용자가 업로드한 모든 이미지를 다운로드할 수 있습니다. 버전 1.9.0에는 수정 패치가 포함되어 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.