CVE-2026-69251

KrytyczneCVSS 9.0

Opublikowano: 04/08/2026(UTC)Zaktualizowano: 04/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Flowise przed wersją 3.1.3 pozwala uwierzytelnionym użytkownikom na ustawienie dowolnych opcji TypeORM DataSource przez pole additionalConfig w kilku węzłach menedżera rekordów i pamięci agenta. Opcje takie jak entities, subscribers i migrations mogą ładować lokalne pliki JavaScript, co umożliwia wykonanie dowolnego kodu na serwerze poprzez przesłanie złośliwego pliku JavaScript i odniesienie się do niego w additionalConfig.entities. Problem został naprawiony w wersji 3.1.3.

Ocena ryzyka

Ryzyko obejmuje zdalne wykonanie kodu przez uwierzytelnionego użytkownika, co może prowadzić do pełnego przejęcia serwera, kradzieży danych lub naruszenia integralności systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację Flowise do wersji 3.1.3 lub nowszej oraz ograniczenie uprawnień użytkowników do minimum.

Oryginalny opis (angielski, źródło NVD)

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, Flowise record manager and agent memory nodes allowed users to set arbitrary TypeORM DataSource options through the additionalConfig input in packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts, packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts, packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts, packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts, and packages/components/nodes/memory/AgentMemory/AgentMemory.ts. TypeORM DataSource options such as entities, subscribers, and migrations can load local JavaScript files, allowing an authenticated user to execute arbitrary code on the server by uploading a JavaScript payload and referencing it from additionalConfig.entities. This issue is fixed in version 3.1.3.