CVE-2026-5027

HIGH8.8Publiée le 27 mars 2026

The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').

Alerte précoce : exploitation observée

Exploitation observée depuis le 8 juin 2026
Pas encore dans le catalogue officiel de la CISA
Première attaque observée 72 jours après la divulgation
Confirmée par des capteurs, pas seulement par des signalements

Source : VulnCheck KEV · 31 août 2026 29 août 2026 28 août 2026 28 août 2026 24 août 2026 10 août 2026

Score CVSS8.8 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-22

Éditeurslangflow

Produits concernés

Éditeurs	Prodotto	Versioni
langflow	langflow	< 1.9.0

Articles liés

Langflow sotto attacco: una falla RCE espone chiavi OpenAI, AWS e credenziali root

Vulnérabilités

Langflow sous attaque : une faille RCE expose des clés OpenAI, AWS et des identifiants root

CVE-2026-0768 : faille RCE critique dans Langflow exploitée sans authentification via /validate, exécution en root et vol de clés OpenAI et AWS. Patch 1.11.6.

1 sept. 20267 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE