一、漏洞概要

二、漏洞分析

2.1 组件介绍

Langflow 是一款开源的低代码可视化平台，通过拖拽式界面快速构建 AI 智能体、RAG 应用及复杂工作流，无需深入编程即可集成大模型、向量数据库和各种工具。

2.2 漏洞描述

2026年3月20日，深瞳漏洞实验室监测到一则Langflow组件存在任意文件创建漏洞的信息，漏洞编号：CVE-2026-33309，漏洞威胁等级：高危。

Langflow 存在任意文件创建漏洞，因文件上传模块存在路径遍历缺陷，导致经过认证的攻击者可构造特殊文件名，在服务器任意路径创建文件，进一步可执行恶意代码，获取服务器控制权。

三、影响范围

目前受影响的Langflow版本：

1.2.0 ≤ Langflow ≤ 1.8.1

官方修复建议

官方已发布最新版本修复该漏洞，建议受影响用户将Langflow更新到1.9.0及以上版本。