Langflow CVE-2026-5027：AI 工作台的文件上传口子

本期按用户要求重制为 9:16 竖屏视频，继续解析 Langflow 文件上传接口的 CVE-2026-5027 路径穿越漏洞。Tenable 披露，POST /api/v2/files 未正确清理 multipart 表单中的 filename 参数，攻击者可借助路径穿越序列把文件写到预期目录之外；CVE 记录给出 8.8 高危评分，Snyk 标注 langflow-base 0.8.3 之前版本受影响。

BleepingComputer 与 The Stack 跟进称，VulnCheck 蜜罐已经观察到利用痕迹，攻击者曾在目标系统写入测试文件。建议尽快升级 Langflow 1.9.0 或更高版本，使用 langflow-base 的部署升级到 0.8.3 或更高；同时启用认证，把实例放到 VPN / 防火墙之后，并轮换可能暴露的模型密钥和服务凭据。