CVE-2026-5027
El endpoint 'POST /api/v2/files' no sanitiza el parámetro 'filename' de los datos del formulario multipart, permitiendo a un atacante escribir archivos en ubicaciones arbitrarias del sistema de archivos utilizando secuencias de path traversal ('../').
Preaviso: explotación observada
- Explotación observada desde el 8 jun 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 72 días después de la divulgación
- Confirmada por sensores, no solo por informes
Fuente: VulnCheck KEV · 25 oct 2026 21 oct 2026 20 oct 2026 19 oct 2026 18 oct 2026 17 oct 2026
Puntuación CVSS8.8 / 10
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HTipo de debilidad (CWE)CWE-22
Fabricanteslangflow
Productos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| langflow | langflow | < 1.9.0 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.