CVE-2026-5027

HIGH8.8Veröffentlicht am 27. März 2026

The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').

Frühwarnung: Ausnutzung beobachtet

Ausnutzung beobachtet seit dem 8. Juni 2026
Noch nicht im offiziellen CISA-Katalog
Erster Angriff 72 Tage nach der Veröffentlichung beobachtet
Durch Sensoren bestätigt, nicht nur durch Meldungen

Quelle: VulnCheck KEV · 31. Aug. 2026 29. Aug. 2026 28. Aug. 2026 28. Aug. 2026 24. Aug. 2026 10. Aug. 2026

CVSS-Score8.8 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Schwachstellentyp (CWE)CWE-22

Herstellerlangflow

Betroffene Produkte

Hersteller	Prodotto	Versioni
langflow	langflow	< 1.9.0

Langflow unter Beschuss: Eine RCE-Schwachstelle legt OpenAI- und AWS-Schlüssel sowie Root-Zugangsdaten offen

Kritische Langflow RCE-Schwachstelle CVE-2026-0768 ermöglicht Code-Ausführung als Root. Angreifer stehlen OpenAI- & AWS-Schlüssel. Update auf 1.11.6 empfohlen.

1. Sept. 20266 Min. LesezeitLesen

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE-Datenbank

Frühwarnung: Ausnutzung beobachtet

Betroffene Produkte

Verwandte Artikel

Langflow unter Beschuss: Eine RCE-Schwachstelle legt OpenAI- und AWS-Schlüssel sowie Root-Zugangsdaten offen