CVE-2026-70470 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large-Language-Model-Workflows. Vor Version 3.1.3 kann die Funktion `validatePythonCodeForDataFrame` in `packages/components/src/pythonCodeValidator.ts` durch Unicode-Homoglyph-Bezeichner umgangen werden, was eine beliebige Python-Ausführung innerhalb von Pyodide und die vollständige Ausführung von OS-Befehlen auf dem Flowise-Host über die Interoperabilität des Pyodide-JS-Moduls ermöglicht. Der Validator sperrt `pyodide.runPythonAsync` in `packages/components/nodes/agents/CSVAgent/CSVAgent.ts` und `packages/components/nodes/agents/AirtableAgent/AirtableAgent.ts` mit einer ASCII-Wortgrenzen-Schwarzerliste. JavaScript-Regex-Wortgrenzen sind nur für ASCII-Zeichen definiert, während Python 3 Bezeichner zur Parse-Zeit nach NFKC normalisiert wird; daher umgehen Homoglyph-Varianten wie `__cl????ss__`, `__subcl????sses__`, `__b????se__` und `__b????iltins__` die Schwarzerliste und werden als ihre ASCII-Entsprechungen interpretiert. Dieses Problem wurde in Version 3.1.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.