Langflow - upload_user_file経由のパス・トラバーサルによる任意のファイル書き込み

CVE-2026-5027 は Langflow に影響を与え、攻撃者がファイルシステム内の任意の場所にファイルを書き込むことを可能にします。この脆弱性は、multipart フォームデータ経由で受信される 'filename' パラメータのサニタイズが不十分な '/api/v2/files' エンドポイントに存在します。攻撃者は、ファイル名にパス・トラバーサル・シーケンス ('../') を使用して、重要なファイルを上書きしたり、悪意のあるファイルをアップロードしたりすることができます。CVSS 重度は 8.8 (高) であり、重大なリスクを示しています。利用可能な修正プログラムがないことは、状況をさらに悪化させ、緊急の対応が必要です。KEV (Kernel Exploit Vulnerability) がないことは、公開されている既知の悪用がないことを示していますが、この脆弱性は依然として悪用可能です。

1. 予約済み2026-03-27
2. 公開日2026-03-27
3. EPSS 更新日2026-04-04

公式な修正プログラムが利用できないため、直近の軽減策は '/api/v2/files' エンドポイントへの露出を避けることに重点を置いています。これは、エンドポイントを無効にしたり、認証および承認されたユーザーへのアクセスを制限したり、Langflow コード内で堅牢なファイル名検証を実装したりすることで実現できます。検証には、パス・トラバーサル・シーケンス ('../') を削除し、ファイル名が予想されるパターンに準拠していることを確認することが含まれます。システムログを監視して、疑わしいアクセスまたはファイル書き込みの試行を検出することも重要です。Langflow のユーザーは、開発者によってリリースされる可能性のある更新プログラムまたはパッチに関する情報を常に把握しておくことを強くお勧めします。