CVE-2026-5027

HIGH8.8Publicada el 27 de marzo de 2026

The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').

Preaviso: explotación observada

Explotación observada desde el 8 jun 2026
Todavía no está en el catálogo oficial de CISA
Primer ataque observado 72 días después de la divulgación
Confirmada por sensores, no solo por informes

Fuente: VulnCheck KEV · 31 ago 2026 29 ago 2026 28 ago 2026 28 ago 2026 24 ago 2026 10 ago 2026

Puntuación CVSS8.8 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-22

Fabricanteslangflow

Productos afectados

Fabricantes	Prodotto	Versioni
langflow	langflow	< 1.9.0

Langflow bajo ataque: una vulnerabilidad RCE expone claves de OpenAI, AWS y credenciales de root

Explotación activa de CVE-2026-0768 en Langflow permite RCE sin autenticación como root y robo de claves OpenAI, AWS y credenciales. Actualiza a 1.11.6.

1 sept 20266 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de datos CVE

Preaviso: explotación observada

Productos afectados

Artículos relacionados

Langflow bajo ataque: una vulnerabilidad RCE expone claves de OpenAI, AWS y credenciales de root