CVE-2026-73486
KrytyczneCVSS 9.0Streszczenie
Flowise przed wersją 3.1.3 zawiera podatność wstrzykiwania kodu w parametrze customReadCSV w węźle CSV Agent, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu Python. Walidator używa statycznej listy blokad regex, którą można obejść przez zaciemnianie.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod w środowisku pyodide bez piaskownicy, co daje pełny dostęp do systemu.
Rekomendacja
Zaktualizuj Flowise do wersji 3.1.3 lub nowszej, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.3 contains a code injection vulnerability in the CSV Agent node's customReadCSV parameter that allows authenticated attackers to execute arbitrary Python code. The validator uses a static regex blocklist that can be bypassed through obfuscation techniques, enabling attackers to execute code in the unsandboxed pyodide environment with full system access.