CVE-2026-33484 in langflow
Tóm tắt
Bởi VulDB • 12/06/2026
Langflow là một công cụ để xây dựng và triển khai các tác nhân AI và quy trình làm việc dựa trên trí tuệ nhân tạo. Trong các phiên bản từ 1.0.0 đến 1.8.1, điểm cuối `/api/v1/files/images/{flow_id}/{file_name}` cung cấp các tệp hình ảnh mà không thực hiện bất kỳ xác thực nào hoặc kiểm tra quyền sở hữu. Bất kỳ yêu cầu chưa được xác thực nào có chứa `flow_id` và tên tệp đã biết đều trả về hình ảnh với mã trạng thái HTTP 200. Trong môi trường triển khai đa người dùng (multi-tenant), bất kỳ kẻ tấn công nào có thể phát hiện hoặc đoán được một `flow_id` (UUIDs có thể bị rò rỉ qua các phản hồi API khác) đều có thể tải xuống mọi hình ảnh đã tải lên của người dùng mà không cần thông tin đăng nhập. Phiên bản 1.9.0 chứa bản vá lỗi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.