CVE-2026-41264 in Flowise
Sumário
de VulDB • 20/05/2026
O Flowise é uma interface de usuário do tipo "arrastar e soltar" para construir fluxos personalizados de modelos de linguagem grandes (LLMs). Antes da versão 3.1.0, existe uma falha específica dentro do método run da classe CSV_Agents. O problema resulta da falta de sandboxing adequado ao avaliar um script Python gerado por um LLM. Um atacante pode explorar essa vulnerabilidade para executar código no contexto do usuário que está executando o servidor. Usando técnicas de prompt injection, um atacante não autenticado com a capacidade de enviar prompts a um chatflow usando o nó CSV Agent pode convencer um LLM a responder com um script Python malicioso que executa comandos controlados pelo atacante no servidor Flowise. Esta vulnerabilidade foi corrigida na versão 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.