Aktywne ataki na Langflow wykorzystują lukę path traversal CVE-2026-5027

Wprowadzenie do problemu / definicja

Bezpieczeństwo platform low-code i no-code dla AI staje się coraz ważniejsze, ponieważ narzędzia tego typu często działają w tym samym środowisku co klucze API, integracje z modelami językowymi oraz komponenty aplikacyjne. Przypadek Langflow pokazuje, że nawet pozornie prosty błąd walidacji danych wejściowych może zostać szybko wykorzystany w realnych atakach na publicznie dostępne instancje.

CVE-2026-5027 to podatność typu path traversal o wysokiej ważności, dotycząca mechanizmu przesyłania plików w Langflow. Błąd umożliwia zapis plików w nieautoryzowanych lokalizacjach systemu plików poprzez manipulację nazwą pliku w żądaniu multipart.

W skrócie

Najważniejsze informacje dotyczące CVE-2026-5027:

• podatność dotyczy funkcji uploadu plików w Langflow,
• umożliwia arbitralny zapis plików na serwerze,
• atakujący mogą wykorzystywać sekwencje path traversal, takie jak ../,
• odnotowano aktywną eksploatację podatnych instancji,
• ryzyko zwiększa uproszczony model uzyskiwania sesji w domyślnej konfiguracji,
• zalecana jest szybka aktualizacja do wersji zawierających poprawki, w tym nowszych wydań z linii 1.9.x i 1.10.0.

Kontekst / historia

Langflow to otwartoźródłowa platforma wizualna do budowy aplikacji AI, agentów, pipeline’ów RAG i przepływów opartych na nowoczesnych integracjach. Wraz ze wzrostem popularności takich rozwiązań rośnie też liczba instancji udostępnianych bezpośrednio przez internet, często poza ściśle kontrolowanymi środowiskami produkcyjnymi.

Podatność CVE-2026-5027 została ujawniona publicznie pod koniec marca 2026 roku. W kolejnych tygodniach pojawiły się poprawki i doniesienia o aktywnych próbach wykorzystania luki. To kolejny sygnał, że ekosystem narzędzi AI staje się atrakcyjnym celem dla atakujących, zwłaszcza gdy wygoda wdrożenia wyprzedza dojrzałość mechanizmów bezpieczeństwa.

Analiza techniczna

Mechanizm podatności opiera się na klasycznym błędzie path traversal w obsłudze przesyłania plików. Endpoint uploadu akceptuje nazwę pliku pochodzącą z danych formularza multipart. Jeśli aplikacja nie normalizuje poprawnie ścieżki i nie odrzuca sekwencji umożliwiających wyjście poza katalog roboczy, atakujący może wymusić zapis pliku w dowolnym miejscu, do którego proces ma uprawnienia.

W praktyce może to prowadzić do zapisania plików w katalogach tymczasowych, nadpisania wybranych zasobów aplikacji lub przygotowania gruntu pod kolejne etapy kompromitacji. Sama możliwość arbitralnego zapisu nie zawsze oznacza natychmiastowe wykonanie kodu, ale w wielu scenariuszach stanowi bezpośredni krok do eskalacji skutków incydentu.

W środowiskach kontenerowych i deweloperskich zagrożenie rośnie, jeśli aplikacja ma dostęp do sekretów, wolumenów współdzielonych lub plików konfiguracyjnych. Doniesienia o aktywnych kampaniach wskazują, że napastnicy wykorzystywali lukę do umieszczania plików testowych na podatnych instancjach, co zwykle świadczy o fazie rozpoznania i walidacji możliwości dalszej eksploatacji.

Konsekwencje / ryzyko

Skutki CVE-2026-5027 mogą być poważniejsze niż w przypadku typowego błędu uploadu. W środowiskach AI kompromitacja platformy orkiestracyjnej może otworzyć drogę do przejęcia dostępu do modeli, danych oraz usług zewnętrznych.

• przejęcie instancji aplikacji,
• kradzież kluczy API do usług LLM,
• dostęp do poświadczeń baz danych i innych backendów,
• manipulacja przepływami pracy AI i wynikami generowanymi przez system,
• wykorzystanie hosta do ruchu bocznego w infrastrukturze.

Szczególnie zagrożone są instancje wystawione bezpośrednio do internetu, uruchamiane na ustawieniach domyślnych oraz działające z nadmiernymi uprawnieniami do systemu plików. W takich warunkach nawet zapis pozornie niegroźnego pliku testowego może oznaczać skuteczne przełamanie granic izolacji aplikacji.

Rekomendacje

Organizacje korzystające z Langflow powinny potraktować ten problem priorytetowo i wdrożyć działania ograniczające ryzyko.

• Niezwłocznie zaktualizować Langflow i powiązane komponenty do wersji zawierających poprawki.
• Ograniczyć lub całkowicie wycofać publiczną ekspozycję instancji, jeśli nie jest niezbędna.
• Wymusić silne uwierzytelnianie przed dostępem do interfejsu i endpointów pomocniczych.
• Zminimalizować uprawnienia procesu aplikacji i ograniczyć możliwość zapisu wyłącznie do kontrolowanych katalogów.
• Monitorować żądania do mechanizmu uploadu pod kątem sekwencji path traversal oraz nietypowych nazw plików.
• Sprawdzić hosty pod kątem nieautoryzowanych plików, zmian konfiguracji i podejrzanych artefaktów startowych.
• Zrotować sekrety i poświadczenia, jeśli istnieje podejrzenie skutecznej eksploatacji.
• Stosować dodatkowe zabezpieczenia środowiska, takie jak izolacja kontenerowa, restrykcyjne montowanie wolumenów oraz profile AppArmor lub SELinux.
• Uzupełnić reguły WAF, IDS/IPS i EDR o detekcję prób path traversal i nieautoryzowanego zapisu plików.

Podsumowanie

CVE-2026-5027 w Langflow to wyraźne ostrzeżenie dla zespołów wdrażających narzędzia AI w środowiskach dostępnych z sieci. Połączenie błędu path traversal w uploadzie plików z niską barierą dostępu do podatnego endpointu tworzy realne zagrożenie dla poufności, integralności i dostępności systemów.

Aktywna eksploatacja oznacza, że problem przestał być jedynie teoretyczny. Najważniejsze działania to szybka aktualizacja, ograniczenie ekspozycji, przegląd środowiska pod kątem oznak kompromitacji oraz weryfikacja architektury bezpieczeństwa całej platformy AI.

Źródła

1. BleepingComputer — https://www.bleepingcomputer.com/news/security/path-traversal-flaw-in-ai-dev-platform-langflow-exploited-in-attacks/
2. Tenable Research Advisories — https://www.tenable.com/security/research
3. Snyk Vulnerability Database: Directory Traversal in langflow-base | CVE-2026-5027 — https://security.snyk.io/vuln/SNYK-PYTHON-LANGFLOWBASE-15842030
4. Langflow 1.10 released — https://www.langflow.org/blog/langflow-1-10
5. GitHub Releases — langflow-ai/langflow — https://github.com/langflow-ai/langflow/releases