JVNDB-2026-009019

langflowにおける複数の脆弱性

Langflowは、AI対応のエージェントやワークフローを構築し展開するためのツールです。バージョン1.2.0から1.8.1までにファイル名の検証に起因する深刻な脆弱性が存在していました。この脆弱性により、認証された攻撃者が任意の場所にファイルを書き込むことが可能となり、その結果リモートコードが実行される可能性がありました。この問題はバージョン1.9.0で修正されています。

langflow

• langflow 1.2.0 以上 1.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary File Write (RCE) via v2 API  Advisory  langflow-ai/langflow  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. 不適切なアクセス制御(CWE-284) [その他]
3. ファイル名やパス名の外部制御(CWE-73) [その他]
4. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-33309

1. National Vulnerability Database (NVD) : CVE-2026-33309

• [2026年03月27日]
    掲載