PT-2026-71425 · Flowise · Flowise
CVSS v4.0
9.0
Crítica
| Vetor | AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.1.3
Description
Um problema de injeção de código existe no nó Airtable Agent. Atacantes não autenticados podem executar código Python arbitrário utilizando técnicas de ofuscação para ignorar a lista de bloqueio do
pythonCodeValidator. Ao enviar prompts manipulados para um chatflow usando o nó Airtable Agent, o código malicioso é executado em um ambiente pyodide não isolado (unsandboxed), fornecendo acesso total ao sistema operacional hospedeiro. Pyodide é uma porta do CPython que permite que o Python seja executado no navegador ou em outros ambientes via WebAssembly.Recommendations
Atualize para a versão 3.1.3 ou posterior.
Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowise