| タイトル | langflowにおけるパストラバーサルの脆弱性 |
|---|---|
| 概要 | Langflowは、AI搭載のエージェントとワークフローを構築および展開するためのツールです。バージョン1.9.0以前のLangflowには、Knowledge Bases API（DELETE /api/v1/knowledge_bases）においてパストラバーサルの脆弱性が存在します。この脆弱性は、ユーザーから提供されたナレッジベース名が適切にサニタイズや境界検証されずにファイルパスに直接連結されることによって発生します。認証済みの攻撃者はこの脆弱性を悪用して、サーバーのファイルシステム上の任意のディレクトリを削除できるため、データ損失やサービスの中断を引き起こす可能性があります。この脆弱性はバージョン1.9.0で修正されています。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月12日0:00 |
| 登録日 | 2026年5月15日11:00 |
| 最終更新日 | 2026年5月15日11:00 |
| CVSS3.0 : 緊急 | |
| スコア | 9.6 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H |
| langflow |
| langflow 1.9.0 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月15日] 掲載 |
2026年5月15日11:00 |
| 概要 | Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.0, Langflow is vulnerable to Path Traversal in the Knowledge Bases API (DELETE /api/v1/knowledge_bases). This occurs because user-supplied knowledge base names are concatenated directly into file paths without proper sanitization or boundary validation. An authenticated attacker can exploit this flaw to delete arbitrary directories anywhere on the server's filesystem, leading to data loss and potential service disruption. This vulnerability is fixed in 1.9.0. |
|---|---|
| 公表日 | 2026年5月13日3:17 |
| 登録日 | 2026年5月13日4:15 |
| 最終更新日 | 2026年5月14日21:52 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:* | 1.9.0 | ||||