CVE-2026-69263 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario tipo arrastrar y soltar para construir un flujo personalizado de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, la mitigación para CVE-2025-8943 bloqueaba las banderas -y y --yes en npx, pero packages/components/nodes/tools/MCP/core.ts solo denegaba PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH y NODE_OPTIONS por nombre exacto de variable de entorno. Dado que npm lee la configuración desde variables npm_config_*, establecer npm_config_yes=true reproducía el comportamiento de --yes sin utilizar una bandera bloqueada, lo que provocaba que npx instalara automáticamente y ejecutara el paquete especificado cuando se iniciaba un servidor MCP personalizado. Este problema está corregido en la versión 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.