Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to version 1.7.1, in the download_profile_picture function of the /profile_pictures/{folder_name}/{file_name} endpoint, the folder_name and file_name parameters are not strictly filtered, which allows the secret_key to be read across directories. Version 1.7.1 contains a patch.
Langflow versions prior to 1.7.1 contain a path traversal vulnerability in the profile picture download endpoint that allows attackers to read sensitive files including secret keys across directories. The vulnerability exists due to insufficient validation of folder_name and file_name parameters, enabling unauthorized access to confidential data.
تحتوي نسخ Langflow السابقة للإصدار 1.7.1 على ثغرة اجتياز مسار في نقطة نهاية تحميل صور الملف الشخصي. يسمح الفشل في التحقق من صحة معاملات folder_name و file_name بقراءة الملفات الحساسة بما في ذلك مفاتيح الأسرار عبر الدلائل. يمكن للمهاجمين الوصول إلى البيانات السرية والمفاتيح المشفرة دون تفويض.
Langflow versions prior to 1.7.1 contain a path traversal vulnerability in the profile picture download endpoint that allows attackers to read sensitive files including secret keys across directories. The vulnerability exists due to insufficient validation of folder_name and file_name parameters, enabling unauthorized access to confidential data.
Upgrade Langflow to version 1.7.1 or later immediately. Implement strict input validation and sanitization for all file path parameters. Use allowlist-based validation for folder and file names. Implement proper access controls and restrict file access to designated directories only. Monitor for suspicious file access patterns.
قم بترقية Langflow إلى الإصدار 1.7.1 أو أحدث فوراً. قم بتطبيق التحقق الصارم من صحة المدخلات وتنظيفها لجميع معاملات مسار الملف. استخدم التحقق القائم على قائمة بيضاء لأسماء المجلدات والملفات. قم بتطبيق عناصر التحكم في الوصول المناسبة وقيد الوصول إلى الملفات في الدلائل المخصصة فقط. راقب أنماط الوصول إلى الملفات المريبة.