| Summary | Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.2, by controlling a files that are digested into the RAG, an attacker can direct the node to read any file on the file-system by absolute path. All components based on BaseFileComponent are vulnerable to the vulnerability. This includes Docling (DoclingInlineComponent), Docling Serve, DoclingRemoteComponent), Read File (FileComponent), NVIDIA Retriever Extraction (NvidiaIngestComponent), Video File (VideoFileComponent), and Unstructured API (UnstructuredComponent). This vulnerability is fixed in 1.9.2. |
|---|---|
| Publication Date | June 24, 2026, 2:17 a.m. |
| Registration Date | June 27, 2026, 4:14 a.m. |
| Last Update | June 25, 2026, 2:17 a.m. |
| CVSS3.1 : CRITICAL | |
| スコア | 9.6 |
|---|---|
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 要 |
| 影響の想定範囲(S) | 変更あり |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | 高 |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:* | 1.9.2 | ||||
| Title | langflowにおける複数の脆弱性 |
|---|---|
| Summary | Langflowは、AIを活用したエージェントおよびワークフローの構築と展開のためのツールです。バージョン1.9.2より前のバージョンでは、RAGに取り込まれるファイルを制御することにより、攻撃者がノードに対してファイルシステム上の任意のファイルを絶対パスで読み取らせることが可能でした。BaseFileComponentに基づくすべてのコンポーネントがこの脆弱性の影響を受けます。これにはDocling（DoclingInlineComponent）、Docling Serve、DoclingRemoteComponent、Read File（FileComponent）、NVIDIA Retriever Extraction（NvidiaIngestComponent）、Video File（VideoFileComponent）、およびUnstructured API（UnstructuredComponent）が含まれます。この脆弱性はバージョン1.9.2で修正されています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 23, 2026, midnight |
| Registration Date | June 26, 2026, 11:54 a.m. |
| Last Update | June 26, 2026, 11:54 a.m. |
| langflow |
| langflow 1.9.2 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月26日] 掲載 |
June 26, 2026, 11:54 a.m. |