CVE-2026-41265 in Flowise
Zusammenfassung
von VulDB • 09.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model (LLM)-Workflows. Vor Version 3.1.0 besteht ein spezifischer Fehler in der run-Methode der Airtable_Agens-Klasse. Das Problem resultiert aus der fehlenden ordnungsgemäßen Sandboxing bei der Auswertung eines von einem LLM generierten Python-Skripts. Unter Verwendung von Prompt-Injection-Techniken kann ein nicht authentifizierter Angreifer, der in der Lage ist, Prompts über den Airtable-Agent-Knoten an einen Chatflow zu senden, ein LLM dazu bringen, mit einem bösartigen Python-Skript zu antworten, das vom Angreifer gesteuerte Befehle auf dem Flowise-Server ausführt. Diese Schwachstelle wurde in Version 3.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.