CVE-2026-70477 in Flowise
الملخص
بحسب VulDB • 04/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنموذج لغوي كبير (LLM). قبل الإصدار 3.1.3، يمكن أن يؤدي حقن مطالبة (prompt injection) مُرسلة إلى تدفق محادثة باستخدام عقدة وكيل CSV إلى استجابة النموذج اللغوي الكبير بنص برمجي ضار بلغة بايثون يتجاوز مدقق القائمة المحظورة ويُنفَّذ في بيئة Pyodide غير معزولة. يوجد العيب المحدد داخل طريقة run الخاصة بالفئة CSV_Agents، حيث تُستخدم بيانات غير موثوقة لبناء مطالبة النموذج اللغوي الكبير، ويتم التحقق من صحة الكود الناتج pythonCode بواسطة validatePythonCodeForDataFrame قبل التنفيذ. يمكن للمهاجم استغلال هذا الثقب لتنفيذ أكواد تعسفية في سياق حساب الخدمة. تم إصلاح هذه المشكلة في الإصدار 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.