バナーによると、リモートホストで実行している Langflow のバージョンは、1.9.0 より前です。したがって、以下の複数の脆弱性による影響を受けます。

- エージェント型アシスタント検証における認証されたコード実行

- パブリックフロービルドエンドポイント経由の認証されていないリモートコード実行

- 一括削除エンドポイントを介したナレッジベース API のパストラバーサル

- v2 API による任意のファイル書き込み (RCE)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

According to its banner, the version of Langflow running on the remote host is prior to 1.9.0. It is, therefore, affected by a multiples vulnerabilities :

- An Authenticated Code Execution in agentic assistant validation

- An Unauthenticated Remote Code Execution via public flow build endpoint

- A Path Traversal in knowledge bases API via bulk delete endpoint

- An Arbitrary File Write (RCE) through the V2 API

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根據其標題，遠端主機上執行的 Langflow 版本是 1.9.0 之前的版本。因此，它會受到多個弱點影響:

- 代理型助理驗證中的已驗證程式碼執行

- 透過公用流程建置端點進行未經驗證的遠端程式碼執行

- 透過大量刪除端點在知識庫 API 中進行路徑遊走

- 透過 V2 API 的任意檔案寫入 (RCE)

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其标题，远程主机上运行的 Langflow 版本低于 1.9.0。因此，该主机受到多个漏洞的影响：

- 代理式助理验证中的一个经身份验证的代码执行

- 通过公共流构建端点实现的未经身份验证的远程代码执行

- 知识库 API 中通过批量删除端点实现的路径遍历

- 通过 V2 API 进行任意文件写入 (RCE)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Langflow is a tool for building and deploying AI-powered agents and workflows. Versions 1.2.0 through
    1.8.1 have a bypass of the patch for CVE-2025-68478 (External Control of File Name), leading to the root
    architectural issue within `LocalStorageService` remaining unresolved. Because the underlying storage
    layer lacks boundary containment checks, the system relies entirely on the HTTP-layer `ValidatedFileName`
    dependency. This defense-in-depth failure leaves the `POST /api/v2/files/` endpoint vulnerable to
    Arbitrary File Write. The multipart upload filename bypasses the path-parameter guard, allowing
    authenticated attackers to write files anywhere on the host system, leading to Remote Code Execution
    (RCE). Version 1.9.0 contains an updated fix. (CVE-2026-33309)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115277	Langflow < 1.9.0 の複数の脆弱性	Web App Scanning	Artificial Intelligence	2026/7/3	2026/7/3	critical
115277	Langflow < 1.9.0 Multiples Vulnerabilities	Web App Scanning	Artificial Intelligence	2026/7/3	2026/7/3	critical
115277	Langflow < 1.9.0 多個弱點	Web App Scanning	Artificial Intelligence	2026/7/3	2026/7/3	critical
115277	Langflow < 1.9.0 多个漏洞	Web App Scanning	Artificial Intelligence	2026/7/3	2026/7/3	critical
439247	SCA: security update for langflow (GHSA-g2j9-7rj2-gm6c)	Tenable Cloud Security	SCA Checks	2026/3/26	2026/7/2	critical
439247	SCA: security update for langflow (GHSA-g2j9-7rj2-gm6c)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/26	2026/7/2	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical