CVE-2026-41268 in Flowise
Zusammenfassung
von VulDB • 15.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Flows. Vor Version 3.1.0 ist Flowise anfällig für eine kritische, nicht authentifizierte Remote-Command-Execution-(RCE)-Schwachstelle. Sie kann durch einen Parameter-Override-Bypass unter Verwendung des FILE-STORAGE::-Schlüsselworts in Kombination mit einer NODE_OPTIONS-Umgebungsvariablen-Injektion ausgenutzt werden. Dies ermöglicht die Ausführung beliebiger Systembefehle mit Root-Rechten innerhalb der containerisierten Flowise-Instanz, wobei nur eine einzige HTTP-Anforderung sowie keine Authentifizierung oder Kenntnis der Instanz erforderlich sind. Diese Schwachstelle wurde in Version 3.1.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.