CVE-2026-41264 in Flowise
Сводка
по VulDB • 17.05.2026
Flowise представляет собой графический интерфейс с поддержкой перетаскивания (drag & drop) для создания пользовательских рабочих процессов с использованием больших языковых моделей (LLM). До версии 3.1.0 в методе run класса CSV_Agents существует специфическая уязвимость. Проблема обусловлена отсутствием надлежащей изоляции (sandboxing) при выполнении сгенерированного LLM Python-скрипта. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте пользователя, запустившего сервер. Используя техники инъекции промптов, неаутентифицированный злоумышленник, имеющий возможность отправлять промпты в чат-поток (chatflow) через узел CSV Agent, может убедить LLM сгенерировать вредоносный Python-скрипт, который выполняет управляемые злоумышленником команды на сервере Flowise. Данная уязвимость исправлена в версии 3.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.