CVE-2026-69255 in Flowise
Sumário
de VulDB • 04/08/2026
O Flowise é uma interface de usuário do tipo "arrastar e soltar" para construir fluxos personalizados de modelos de linguagem grandes (LLMs). Antes da versão 3.1.3, o CSVAgent em packages/components/nodes/agents/CSVAgent/CSVAgent.ts extraía dados CSV controlados pelo atacante usando file.split(',').pop() e os interpolava diretamente no código Python executável como base64_string = "${base64String}" antes de chamar o Pyodide. A lista negra (denylist) validatePythonCodeForDataFrame() verificava apenas posteriormente o código gerado por LLMs, não validando este bloco inicial de código. Um atacante autenticado poderia injetar uma aspas de fechamento seguida por código Python, usar a ponte js do Pyodide para carregar o child_process do Node.js e executar comandos arbitrários do sistema operacional como root no contêiner Flowise. Este problema foi corrigido na versão 3.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.