CVE-2026-73484
WysokieCVSS 8.6Streszczenie
Flowise przed wersją 3.1.3 zawiera podatność ucieczki z piaskownicy w pythonCodeValidator.ts, która nie blokuje natywnych metod Pandas DataFrame, takich jak to_csv, to_json, pipe i query. Uwierzytelnieni atakujący mogą to wykorzystać do eksfiltracji przesłanych danych CSV lub zapisu dowolnych plików w systemie plików serwera.
Ocena ryzyka
Ryzyko eksfiltracji danych i zapisu dowolnych plików na serwerze, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację Flowise do wersji 3.1.3 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.3 contains a sandbox escape vulnerability in pythonCodeValidator.ts that fails to block native Pandas DataFrame methods like to_csv, to_json, pipe, and query. Authenticated attackers can exploit this to exfiltrate uploaded CSV data or write arbitrary files to the server filesystem.