Apa yang terjadi
Endpoint upload file POST /api/v2/files milik Langflow gagal melakukan sanitasi parameter 'filename' dalam data form multipart, memungkinkan penyerang menulis file arbitrer di mana saja pada filesystem host melalui urutan path traversal ../. Karena Langflow dilengkapi dengan auto-login tak terauthentikasi yang diaktifkan secara default, tidak ada kredensial yang diperlukan — satu permintaan HTTP tak terauthentikasi menghasilkan token sesi yang valid. Honeypot VulnCheck mendeteksi eksploitasi di lapangan dimulai 8–10 Juni 2026, dengan penyerang menjatuhkan file uji pada instans yang rentan sebagai pendahulu reverse shell berbasis cron. Sekitar 7.000 instans Langflow terbuka untuk publik di internet. Tenable secara publik mengungkapkan pada 27 Maret setelah tiga upaya kontak vendor yang gagal; patch tersedia di langflow-base 0.8.3 dan Langflow 1.10.0 (dirilis 10 Juni 2026).
Mengapa penting
Langflow adalah platform visual yang banyak digunakan untuk membangun agen AI, pipeline RAG, dan alur kerja berbasis MCP (149.000+ bintang GitHub). Eksploitasi memberikan eksekusi kode tingkat root tak terauthentikasi pada host yang menjalankan lapisan orkestrasi AI, memungkinkan penyerang untuk mengeluarkan kunci API model, meracuni memori/data agen, mengalihkan panggilan alat agen, atau pivot lebih dalam ke infrastruktur AI. Ini adalah RCE Langflow kedua yang secara aktif dieksploitasi pada 2026, dan kelompok nation-state MuddyWater sebelumnya telah dikaitkan dengan eksploitasi Langflow.
Vektor serangan
HTTP POST tak terauthentikasi ke /api/v2/files dengan urutan ../ dalam parameter filename; auto-login default menyediakan token sesi tanpa kredensial, memungkinkan penulisan file langsung ke /etc/cron.d/ atau penempatan web-shell untuk RCE
Sistem yang terdampak
Langflow < 1.9.0 (aplikasi), langflow-base < 0.8.3; semua versi dengan AUTO_LOGIN diaktifkan dan eksposur internet publik
Mitigasi
Upgrade ke Langflow 1.10.0 (langflow-base 0.8.3). Nonaktifkan AUTO_LOGIN (atur LANGFLOW_AUTO_LOGIN=false). Blokir eksposur internet publik ke port 7860. Jika terbuka sebelum patching, asumsikan kompromi dan audit filesystem untuk cron job tidak sah dan web shell. Advisory: https://www.bleepingcomputer.com/news/security/path-traversal-flaw-in-ai-dev-platform-langflow-exploited-in-attacks/