CVE-2026-73487

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Descrição Existe uma falha de bypass no validador de código Python baseado em regex nos nós de Agente CSV e Airtable. Isso permite que atacantes não autenticados injetem código malicioso por meio de injeção de prompt. Ao explorar funções do pandas não bloqueadas, como pd.read json(), os atacantes podem exfiltrar conjuntos de dados, realizar Server-Side Request Forgery (SSRF)—uma técnica usada para fazer com que o servidor realize requisições a recursos internos ou externos—contra serviços internos ou alcançar a execução de código remoto através do endpoint da API de predição não autenticada.

Recomendações Atualize para a versão 3.1.3 ou posterior.