CVE-2026-41264 in Flowise
الملخص
بحسب VulDB • 24/05/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنماذج اللغة الكبيرة (LLM). قبل الإصدار 3.1.0، يوجد عيب محدد داخل طريقة `run` في فئة `CSV_Agents`. ينتج هذا الخطأ عن عدم وجود عزل مناسب (sandboxing) عند تقييم نص برمجي مكتوب بلغة Python تم إنشاؤه بواسطة نموذج لغة كبير (LLM). يمكن للمهاجم استغلال هذه الثغرة لتنفيذ التعليمات البرمجية في سياق المستخدم الذي يشغل الخادم. باستخدام تقنيات حقن المطالبات (prompt injection)، قد يقنع مهاجم غير مصادق عليه، لديه القدرة على إرسال مطالبات إلى تدفق محادثة باستخدام عقدة وكيل CSV، نموذج اللغة الكبيرة بالاستجابة بنص برمجي ضار بلغة Python ينفذ أوامر يتحكم فيها المهاجم على خادم Flowise. تم إصلاح هذه الثغرة في الإصدار 3.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.