Langflow 高危漏洞被用于未认证RCE攻击
Ravie Lakshmanan
Ravie Lakshmanan
代码卫士
2026年6月12日 16:15
北京
在小说阅读器读本章
去阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
VulnCheck的调查结果显示，用于构建人工智能应用的开源低代码平台Langflow中存在一个高危路径遍历漏洞（CVE-2026-5027，CVSS评分8.8）且已在野利用，可导致攻击者将文件写入任意位置。
发现该漏洞的 Tenable 公司在一份通告中表示，\"'POST /api/v2/files' 端点未能清除来自多部分表单数据的 'filename' 参数，导致攻击者可利用路径遍历序列（'../'）将文件写入文件系统中的任意位置\"。
Tenable 公司表示，在 2026 年 3 月 27 日披露该漏洞的详细信息之前，曾于 2026 年 1 月和 2 月三次尝试联系项目维护者。VulnCheck 公司的安全研究副总裁 Caitlin Condon 在 LinkedIn 上发文指出，该漏洞可实现远程代码执行。
Condon 补充道：“由于 Langflow 默认启用了无身份验证的自动登录功能，访问该漏洞端点无需任何凭证，只需发送一个未经验证的请求即可获得有效的会话令牌，随后便可实施利用。”
到目前为止，攻击活动似乎是在利用该漏洞在受害系统上写入测试文件。Censys 的数据显示，互联网上约有 7000 个 Langflow 实例公开暴露，其中大多数位于北美。
在此次攻击发生之前，今年已有一系列针对 Langflow 其它漏洞的利用活动，包括 CVE-2026-0770、CVE-2026-33017、CVE-2026-21445 和 CVE-2025-34291。其中最后一个漏洞已被伊朗国家支持的黑客组织 MuddyWater 武器化。
Tenable公司在一份声明中表示：“这些攻击活动凸显了一个日益增长的趋势，即攻击者开始瞄准组织用于构建和部署 AI 应用的基础设施及工具。” 另外，该公司表示langflow-base 软件包的项目维护者已确认该漏洞在 2026 年 4 月 15 日发布的 Langflow 1.9.0 版本中得到了修复。建议用户更新到最新版本以获得最佳保护。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
严重的Langflow RCE 漏洞被用于攻击AI app 服务器
Veeam 新漏洞导致Backup 服务器易受 RCE 攻击
原文链接
https://thehackernews.com/2026/06/unpatched-langflow-flaw-cve-2026-5027.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞” 吧~
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论