CVE-2026-69263 in Flowise
要約
〜によって VulDB • 2026年08月04日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.1.3より前では、CVE-2025-8943への対策としてnpxの-yおよび--yesフラグがブロックされていましたが、packages/components/nodes/tools/MCP/core.tsは環境変数名を厳密に一致させることでPATH、LD_LIBRARY_PATH、DYLD_LIBRARY_PATH、NODE_OPTIONSのみを拒否していました。npmはnpm_config_*変数から設定を読み取るため、npm_config_yes=trueを設定することでブロックされたフラグを使用せずに--yesの動作が再現され、カスタムMCPサーバー起動時にnpxによって指定パッケージの自動インストールと実行が行われる原因となりました。この問題はバージョン3.1.3で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.