CVE-2026-5027

HIGH8.8Pubblicata il 27 marzo 2026

The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').

Preallarme: sfruttamento osservato

Sfruttamento osservato dal 8 giu 2026
Non ancora nel catalogo ufficiale CISA
Primo attacco osservato 72 giorni dopo la divulgazione
Confermata dai sensori, non solo da segnalazioni

Fonte: VulnCheck KEV · 31 ago 2026 29 ago 2026 28 ago 2026 28 ago 2026 24 ago 2026 10 ago 2026

Punteggio CVSS8.8 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-22

Vendorlangflow

Prodotti coinvolti

Vendor	Prodotto	Versioni
langflow	langflow	< 1.9.0

Langflow sotto attacco: una falla RCE espone chiavi OpenAI, AWS e credenziali root

Vulnerabilità critica Langflow CVE-2026-0768 consente RCE senza autenticazione come root per rubare chiavi OpenAI, AWS e credenziali. Aggiorna a 1.11.6.

1 set 20266 min di letturaLeggi

This product uses the NVD API but is not endorsed or certified by the NVD.

Database CVE

Preallarme: sfruttamento osservato

Prodotti coinvolti

Articoli correlati

Langflow sotto attacco: una falla RCE espone chiavi OpenAI, AWS e credenziali root