脅威動向 2026-08-18（火）配信

Langflowのfiles APIに任意のファイル作成可能な脆弱性

Langflowのfiles API（/api/v2/files）におけるパストラバーサル脆弱性（CVE-2026-5027）です。ファイル名の検証不備により、認証済みの攻撃者がサーバー内の任意の場所に任意のファイルを作成し、遠隔からのシステム侵入につながるおそれがあります。

主要なTTP

files API（/api/v2/files）の filename パラメーターへのパストラバーサル攻撃

任意のファイル作成（悪意ある cron タスクの作成など）

遠隔コード実行によるサーバー侵入

対象となる組織・利用者

Langflowのバージョン 1.8.4 以下を運用している組織。特にAIアプリケーション開発や検証環境で利用している場合は注意が必要です。

推奨される防御アクション

Langflowをバージョン 1.9.0 以降にアップデートする

認証設定の見直しや利用者の認証情報を強化し、不正なアクセスを防ぐ

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。