Apa yang terjadi
NVD menerbitkan (2026-10-01) path traversal absolut pada endpoint create-knowledge-base milik Langflow yang memungkinkan penulisan atau penimpaan file di luar workspace yang dimaksud melalui path absolut yang disuplai penyerang.
Mengapa penting
Basis pengetahuan adalah penyimpanan data RAG untuk deployment Langflow; primitif penulisan file pada host dapat dirangkai menuju persistensi atau penimpaan file aplikasi/konfigurasi di lingkungan GenAI/agen.
Vektor serangan
Penyerang menyuplai path absolut ke endpoint pembuatan basis pengetahuan, menulis atau menimpa file di luar direktori kerja/penyimpanan yang dimaksud di server Langflow.
Sistem yang terdampak
langflow-ai langflow hingga 1.8.4 (handler create-knowledge-base, src/backend/base/langflow/api/v1/knowledge_bases.py)
Mitigasi
Terapkan perbaikan vendor setelah tersedia; jangan ekspos rute pembuatan basis pengetahuan ke pihak yang tidak tepercaya; jalankan Langflow dengan akun layanan terbatas.