Udnyttet sårbarhed
Langflow Langflow Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Langflow er et værktøj til at bygge og implementere AI-drevne agenter og workflows. Versioner 1.2.0 gennem 1.8.1 har et bypass af patch'et for CVE-2025-68478 (External Control of File Name), hvilket fører til, at den grundlæggende arkitektoniske problemstilling inden for `LocalStorageService` forbliver uløst. Fordi det underliggende lagerlag mangler grænseindeslutningskontroller, stiller systemet sig helt ud af sted med HTTP-lagenes `ValidatedFileName` afhængighed. Dette defense-in-depth-fejl efterlader POST `/api/v2/files/` endpoint sårbar over for Arbitrary File Write. Multipart upload-filnavnet omgår path-parameterbeskyttelsen, hvilket tillader authenticated angribere at skrive filer hvor som helst på hostsystemet, hvilket fører til Remote Code Execution (RCE). Version 1.9.0 indeholder en opdateret fix.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD