CVE-2026-41264 in Flowise
Zusammenfassung
von VulDB • 22.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model (LLM)-Workflows. Vor Version 3.1.0 besteht ein spezifischer Fehler in der run-Methode der CSV_Agents-Klasse. Das Problem resultiert aus der fehlenden ordnungsgemäßen Sandboxing bei der Auswertung eines von einem LLM generierten Python-Skripts. Ein Angreifer kann diese Schwachstelle ausnutzen, um Code im Kontext des Benutzers auszuführen, der den Server betreibt. Unter Verwendung von Prompt-Injection-Techniken kann ein nicht authentifizierter Angreifer, der die Fähigkeit besitzt, Prompts an einen Chatflow über den CSV-Agent-Knoten zu senden, ein LLM dazu bringen, mit einem bösartigen Python-Skript zu antworten, das vom Angreifer gesteuerte Befehle auf dem Flowise-Server ausführt. Diese Schwachstelle wurde in Version 3.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.