CVE-2026-69255 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, il componente CSVAgent in packages/components/nodes/agents/CSVAgent/CSVAgent.ts estrae i dati CSV controllati dall'attaccante utilizzando file.split(',').pop() e li interpola direttamente nel codice Python eseguibile come base64_string = "${base64String}" prima di chiamare Pyodide. La denylist validatePythonCodeForDataFrame() verifica solo il codice generato successivamente dagli LLM e non convalida questo blocco iniziale di codice. Un attaccante autenticato potrebbe iniettare una virgoletta di chiusura seguita da codice Python, utilizzare l'interfaccia js bridge di Pyodide per caricare child_process di Node.js ed eseguire comandi del sistema operativo arbitrari come root nel container Flowise. Questo problema è stato risolto nella versione 3.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.