PT-2026-67807
CVE-2026-70470
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-09-14
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
يحتوي Flowise على ثغرة تسمح بتجاوز الدالة
validatePythonCodeForDataFrame الموجودة في packages/components/src/pythonCodeValidator.ts باستخدام معرفات أحرف متشابهة في Unicode. يحدث هذا لأن أداة التحقق من الصحة تستخدم قائمة سوداء لعبارات JavaScript النمطية (regex) مع حدود الكلمات (b) التي لا تتعرف إلا على أحرف ASCII، في حين أن Python 3 تقوم بتوحيد هذه المعرفات في وقت التحليل. ونتيجة لذلك، تتجاوز النسخ المتشابهة من المصطلحات المقيدة مثل class وsubclasses وbase وbuiltins المرشح ويتم تنفيذها كمعادلاتها ASCII.يسمح هذا التجاوز بتنفيذ تعليمات Python تعسفية داخل Pyodide، وهو ما يمكن الاستفادة منه عبر التفاعل بين وحدات Pyodide JS لتحقيق التنفيذ الكامل لأوامر نظام التشغيل على مضيف Flowise. تؤثر هذه المشكلة على الدالة
pyodide.runPythonAsync المستخدمة في packages/components/nodes/agents/CSVAgent/CSVAgent.ts وpackages/components/nodes/agents/AirtableAgent/AirtableAgent.ts. يمكن للمهاجمين استغلال هذه الثغرة من خلال نقطة النهاية /api/v1/prediction/{chatflowId} أو عن طريق تعديل المتغير customReadCSV في تدفق الدردشة.التوصيات
تحديث Flowise إلى الإصدار 3.1.3.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى مكوني
CSVAgent وAirtableAgent حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾