PT-2026-50598 · Pypi · Langflow
Publicado
2026-06-17
·
Atualizado
2026-06-19
·
CVE-2026-55450
CVSS v3.1
9.3
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Langflow versões anteriores a 1.9.1
Description
Usuários não autenticados com acesso à rede podem fazer o upload de quantidades ilimitadas de dados para o servidor, o que pode levar à exaustão do espaço em disco e a uma consequente negação de serviço. Além disso, o servidor vaza o caminho absoluto do arquivo enviado na resposta, fornecendo informações que podem ser usadas para facilitar outros ataques. O problema existe na função
create upload file() dentro do endpoint '/upload/{flow id}', onde há falta de autenticação e validação para a variável flow id.Recommendations
Atualize para a versão 1.9.1.
Como medida paliativa temporária, restrinja o acesso à rede para o endpoint '/upload/{flow id}' para minimizar o risco de exploração.
Correção
Resource Exhaustion
Information Disclosure
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Langflow