新聞

近日資安公司VulnCheck於職場社群網站LinkedIn提出警告，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。

此為今年1月漏洞管理公司Tenable通報的漏洞，在多次通報沒有得到開發團隊回覆後，於3月下旬公開。此漏洞發生的原因，在於POST /api/v2/files端點不會從資料多個地方清理filename參數，導致攻擊者能藉由路徑遍歷序列，於檔案系統的任何位置寫入檔案，CVSS v4.0為8.7分、CVSS v3.1為8.8分 ，另一家資安公司Snyk發現，Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。

VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點。換言之，攻擊者只要能發出未經授權的護求，並包含有效連線階段（session）的權杖（token）就能利用。