AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊
Posted in
業界新聞
新聞
此為今年1月漏洞管理公司Tenable通報的漏洞，在多次通報沒有得到開發團隊回覆後，於3月下旬公開。此漏洞發生的原因，在於POST /api/v2/files端點不會從資料多個地方清理filename參數，導致攻擊者能藉由路徑遍歷序列，於檔案系統的任何位置寫入檔案，CVSS v4.0為8.7分、CVSS v3.1為8.8分 ，另一家資安公司Snyk發現，Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。
VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點。換言之，攻擊者只要能發出未經授權的護求，並包含有效連線階段（session）的權杖（token）就能利用。
Langflow - Path Traversal Arbitrary File Write via upload_user_file
The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').
www.tenable.com
Comments (0)