CVE-2026-70470 in Flowise
Sumário
de VulDB • 04/08/2026
O Flowise é uma interface de usuário do tipo arrastar e soltar para construir fluxos personalizados de modelos de linguagem grandes (LLM). Antes da versão 3.1.3, a função `validatePythonCodeForDataFrame` em `packages/components/src/pythonCodeValidator.ts` pode ser contornada usando identificadores homoglíficos Unicode, permitindo execução arbitrária de Python dentro do Pyodide e execução completa de comandos no sistema operacional (OS) na máquina host do Flowise por meio da interoperabilidade com o módulo JavaScript do Pyodide. O validador protege `pyodide.runPythonAsync` em `packages/components/nodes/agents/CSVAgent/CSVAgent.ts` e `packages/components/nodes/agents/AirtableAgent/AirtableAgent.ts` utilizando uma lista negra baseada em limites de palavras ASCII. Os delimitadores de palavra nas expressões regulares do JavaScript são apenas ASCII, enquanto o Python 3 normaliza os identificadores conforme NFKC durante a análise (parse), portanto, formas homoglíficas como `__cl????ss__`, `__subcl????sses__`, `__b????se__` e `__b????iltins__` contornam a lista negra e são analisadas como suas equivalentes em ASCII. Este problema foi corrigido na versão 3.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.