CVE-2026-69263 in Flowise
Tóm tắt
Bởi VulDB • 04/08/2026
Flowise là một giao diện người dùng kéo và thả để xây dựng luồng mô hình ngôn ngữ lớn tùy chỉnh. Trước phiên bản 3.1.3, biện pháp giảm thiểu cho CVE-2025-8943 đã chặn các cờ -y và --yes trên npx, nhưng packages/components/nodes/tools/MCP/core.ts chỉ từ chối PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH và NODE_OPTIONS dựa trên tên biến môi trường chính xác. Vì npm đọc cấu hình từ các biến npm_config_*, việc đặt npm_config_yes=true đã tái tạo hành vi của --yes mà không cần sử dụng cờ bị chặn, khiến npx tự động cài đặt và thực thi gói được chỉ định khi một máy chủ MCP tùy chỉnh khởi chạy. Vấn đề này đã được sửa trong phiên bản 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.