Langflow - अपलोड_यूज़र_फ़ाइल के माध्यम से पाथ ट्रैवर्सल आर्बिट्रेरी फ़ाइल राइट

'POST /api/v2/files' एंडपॉइंट मल्टीपार्ट फ़ॉर्म डेटा से 'filename' पैरामीटर को सैनिटाइज़ नहीं करता है, जिससे एक हमलावर पाथ ट्रैवर्सल सीक्वेंस ('../') का उपयोग करके फ़ाइल सिस्टम पर मनमाने स्थानों पर फ़ाइलें लिख सकता है।