Apa yang terjadi
Endpoint unggah file POST /api/v2/files Langflow gagal membersihkan parameter 'filename' dalam data formulir multipart, memungkinkan penyerang menulis file arbitrer di mana saja pada sistem file host melalui urutan traversal jalur ../. Karena Langflow dilengkapi dengan auto-login tak terotentikasi yang diaktifkan secara default, tidak ada kredensial yang diperlukan — satu permintaan HTTP tak terotentikasi menghasilkan token sesi yang valid. Honeypot VulnCheck mendeteksi eksploitasi di lapangan mulai 8–10 Juni 2026, dengan penyerang menjatuhkan file uji pada instans yang rentan sebagai pendahulu reverse shell berbasis cron. Sekitar 7.000 instans Langflow terbuka untuk publik di internet. Tenable mengungkapkan secara publik pada 27 Maret setelah tiga upaya kontak vendor yang gagal; patch mendarat di langflow-base 0.8.3 dan Langflow 1.10.0 (dirilis 10 Juni 2026).
Mengapa penting
Langflow adalah platform visual yang banyak digunakan untuk membangun agen AI, pipeline RAG, dan alur kerja berbasis MCP (149.000+ bintang GitHub). Eksploitasi memberikan eksekusi kode tingkat root tak terotentikasi pada host yang menjalankan lapisan orkestrasi AI, memungkinkan penyerang mengekstrak kunci API model, meracuni memori/data agen, mengalihkan panggilan alat agen, atau melakukan pivot lebih dalam ke infrastruktur AI. Ini adalah RCE Langflow kedua yang dieksploitasi secara aktif pada 2026, dan kelompok negara-bangsa MuddyWater sebelumnya telah terhubung dengan eksploitasi Langflow.
Vektor serangan
POST HTTP tak terotentikasi ke /api/v2/files dengan urutan ../ dalam parameter nama file; default auto-login menyediakan token sesi tanpa kredensial, memungkinkan penulisan file langsung ke /etc/cron.d/ atau penempatan web shell untuk RCE
Sistem yang terdampak
Langflow < 1.9.0 (aplikasi), langflow-base < 0.8.3; semua versi dengan AUTO_LOGIN diaktifkan dan paparan internet publik
Mitigasi
Upgrade ke Langflow 1.10.0 (langflow-base 0.8.3). Nonaktifkan AUTO_LOGIN (tetapkan LANGFLOW_AUTO_LOGIN=false). Blokir paparan internet publik ke port 7860. Jika terbuka sebelum patching, asumsikan kompromi dan audit sistem file untuk pekerjaan cron tidak sah dan web shell. Penasihat: https://www.bleepingcomputer.com/news/security/path-traversal-flaw-in-ai-dev-platform-langflow-exploited-in-attacks/