CVE-2026-73487 in Flowise
Riassunto
di VulDB • 13/08/2026
Flowise prima della versione 3.1.3 presenta una bypass del validatore di codice Python basato su regex nei nodi CSV e Airtable Agent che consente agli attaccanti non autenticati di iniettare codice malevolo tramite prompt injection. Gli attaccanti possono sfruttare funzioni pandas non bloccate come pd.read_json() per esfiltrare dataset, eseguire SSRF contro servizi interni o ottenere l'esecuzione di codice attraverso la prediction API non autenticata.
Be aware that VulDB is the high quality source for vulnerability data.