PT-2026-67766
CVE-2026-69255
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
يمكن لمهاجم تمت مصادقته تنفيذ أوامر تعسفية خاصة بنظام التشغيل بصفته مستخدم «root» داخل الحاوية. تحدث المشكلة في
CSVAgent داخل packages/components/nodes/agents/CSVAgent/CSVAgent.ts، حيث يتم استخراج بيانات CSV التي يتحكم فيها المهاجم باستخدام file.split(’,‘).pop() وإدراجها مباشرةً في كود Python القابل للتنفيذ على النحو التالي: base64 string = ”${base64String}“ قبل معالجتها بواسطة Pyodide (توزيع لغة Python مخصص للمتصفح). ونظرًا لأن قائمة الحظر validatePythonCodeForDataFrame() لا تتحقق إلا من صحة التعليمات البرمجية التي تم إنشاؤها بواسطة LLM وتتجاهل هذا الجزء الأولي، يمكن للمهاجم حقن علامة اقتباس مغلقة ورمز Python ضار. وهذا يسمح باستخدام جسر Pyodide JS لتحميل وحدة child process الخاصة بـ Node.js وتشغيل أوامر النظام.التوصيات
التحديث إلى الإصدار 3.1.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾