漏洞概要 漏洞编号: #791920 漏洞名称: Langflow <= 1.8.3 信息泄露 (Information Disclosure) 漏洞类型: 敏感信息泄露 漏洞概述 Langflow 在导出 JSON 文件时存在信息泄露漏洞。应用程序未能正确删除敏感凭据，原因是 函数存在逻辑缺陷。 该函数仅当字段被标记为 且名称严格包含 和 ( 或 ) 时才会剥离值。如果敏感字段名称仅为 、 或 ，则绕过该逻辑，导致明文泄露。 影响范围 敏感信息泄露：数据库凭据、第三方服务密钥及其他机密数据在导出的 JSON 文件中泄露。 安全风险：未经授权的用户可以通过提取这些流导出文件获取明文凭据，进而攻击集成外部基础设施。 修复方案 目前页面未提供具体的代码修复补丁，但指出了漏洞根源在于 函数的命名启发式逻辑过于严格。修复需改进该函数的逻辑，使其能正确识别并移除所有被标记为敏感（ ）的字段，而不仅仅局限于包含特定关键词的字段名。 POC / 利用代码 漏洞代码位置: 漏洞函数: 利用步骤: 1. 攻击者（或普通用户）创建一个包含敏感字段（例如命名为 "password"）且标记为 的流。 2. 用户在流中使用一个高度敏感的字符串，例如 。 3. 用户使用 API ( ) 下载该流。 4. 下载的 JSON 文件显示明文文本 ，因为 函数错误地决定保留它。