CVE-2026-70477 in Flowise
要約
〜によって VulDB • 2026年08月05日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。バージョン3.1.3より前では、CSV Agentノードを使用してチャットフローに送信されるプロンプトインジェクションにより、ブロックリストバリデーターをバイパスする悪意のあるPythonスクリプトがLLMによって応答として返され、サンドボックス化されていないPyodide環境で実行されてしまいます。この特定の欠陥は、信頼できないデータを用いてLLMのプロンプトを組み立て、生成されたpythonCodeを実行前にvalidatePythonCodeForDataFrameによって検証するCSV_Agentsクラスのrunメソッド内に存在します。攻撃者はこれを利用して、サービスアカウントのコンテキスト内で任意のコードを実行できます。この問題は3.1.3で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.