事件经过
在 Langflow 1.9.1 之前，无身份验证的用户可以通过文件上传端点无限制地将数据上传到服务器，没有大小或速率限制。这可能会耗尽服务器上的磁盘空间，使 Langflow 对所有用户无限期不可用。CVSS 9.3 严重，发布于 2026-06-23。
影响分析
对生产 AI 工作流平台的无认证 DoS 中断所有运行的代理管道和该实例上的 AI 部署。攻击者可以轻易关闭多个团队使用的共享 Langflow 基础设施，造成依赖 Langflow 流的自动 AI 流程中的级联故障。
攻击途径
对 Langflow 上传端点的无身份验证重复文件上传请求，带有大文件；没有服务器端大小限制或身份验证检查耗尽磁盘空间
受影响系统
Langflow < 1.9.1
缓解措施
升级到 Langflow 1.9.1。PR 修复：https://github.com/langflow-ai/langflow/pull/12831