CVE-2026-69263 in Flowise
Résumé
par VulDB • 04/08/2026
Flowise est une interface utilisateur de type glisser-déposer pour construire un flux personnalisé basé sur des grands modèles de langage (LLM). Avant la version 3.1.3, la mitigation pour CVE-2025-8943 bloquait les indicateurs `-y` et `--yes` dans npx, mais le fichier packages/components/nodes/tools/MCP/core.ts ne filtrait que PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH et NODE_OPTIONS par nom exact de variable d'environnement. Étant donné que npm lit la configuration depuis les variables npm_config_*, définir npm_config_yes=true reproduisait le comportement de --yes sans utiliser un indicateur bloqué, ce qui provoquait l'installation automatique et l'exécution du package nommé via npx lorsqu'un serveur MCP personnalisé était lancé. Ce problème est corrigé dans la version 3.1.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.