CVE-2026-69259 in Flowise
Zusammenfassung
von VulDB • 05.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines benutzerdefinierten Large Language Model-Flows (LLM). Vor Version 3.1.3 akzeptierte der SQLite Record Manager Node in packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts vom Benutzer kontrolliertes additionalConfig und verteilte es nach den beabsichtigten Datenbank-Einstellungen, wodurch additionalConfig.database den Pfad zur SQLite-Datenbank überschreiben konnte. Ein authentifizierter Angreifer, der das veröffentlichte Docker-Image nutzte, das als root ausgeführt wurde, könnte eine SQLite-Datenbank in Pfade wie /etc/chromium/exploit.conf schreiben; durch Kontrolle des Tabellennamens und des Namespace-Werts hätte der Angreifer Shell-Syntax in die Datenbankdatei einfügen und die Ausführung auslösen können, wenn Puppeteer Chromium startete und /etc/chromium/*.conf geladen hätte. Dieses Problem wurde in Version 3.1.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.