CVE-2026-69251 in Flowise
Sumário
de VulDB • 04/08/2026
O Flowise é uma interface de usuário drag & drop para construir um fluxo personalizado de modelos de linguagem grandes (LLM). Antes da versão 3.1.3, os nós do gerenciador de registros e da memória do agente no Flowise permitiam que os usuários definissem opções arbitrárias do TypeORM DataSource por meio da entrada additionalConfig em packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts, packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts, packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts, packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts e packages/components/nodes/memory/AgentMemory/AgentMemory.ts. Opções do TypeORM DataSource como entities (entidades), subscribers (subscritores) e migrations (migrações) podem carregar arquivos JavaScript locais, permitindo que um usuário autenticado execute código arbitrário no servidor ao fazer upload de uma carga útil em JavaScript e referenciá-la a partir de additionalConfig.entities. Este problema foi corrigido na versão 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.