PT-2026-71426
CVE-2026-73486
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
9.0
حرجةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
يمكن للمهاجمين المصادق عليهم تنفيذ تعليمات برمجية عشوائية بلغة Python عبر المعلمة
customReadCSV في عقدة CSV Agent. تنبع المشكلة من أداة التحقق التي تعتمد على قائمة حظر ثابتة تعتمد على التعبيرات النمطية (regex)، والتي يمكن تجاوزها باستخدام تقنيات التعتيم. وهذا يسمح بتنفيذ التعليمات البرمجية داخل بيئة pyodide غير المحمية بـ «صندوق الرمل» (sandbox)، مما يوفر وصولاً كاملاً إلى النظام.التوصيات
قم بالتحديث إلى الإصدار 3.1.3 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة
customReadCSV في عقدة CSV Agent.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾