PT-2026-71425

CVE-2026-73485

Publicado

2026-08-13

Atualizado

2026-10-23

Descrição por

CVSS 4.0

9.0

Crítica

MétricasAV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Um problema de injeção de código existe no nó Airtable Agent. Atacantes não autenticados podem executar código Python arbitrário utilizando técnicas de ofuscação para ignorar a lista de bloqueio do pythonCodeValidator. Ao enviar prompts manipulados para um chatflow usando o nó Airtable Agent, o código malicioso é executado em um ambiente pyodide não isolado (unsandboxed), fornecendo acesso total ao sistema operacional hospedeiro. Pyodide é uma porta do CPython que permite que o Python seja executado no navegador ou em outros ambientes via WebAssembly.

Recommendations Atualize para a versão 3.1.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados

CVE-2026-73485