Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-9gvv-qjj3-2p6g (CVE-2026-73483) për një dobësi me rrezikshmëri kritike (CVSS 9.4) në paketën flowise të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- flowise (npm) — versionet e prekura:
<= 3.1.2; versioni me rregullim:3.1.3 - flowise-components (npm) — versionet e prekura:
<= 3.1.2; versioni me rregullim:3.1.3
Detaje
- Rrezikshmëria: Kritike (CVSS 9.4)
- Identifikuesit: GHSA-9gvv-qjj3-2p6g, CVE-2026-73483
Përmbledhja zyrtare
Flowise NodeVM sandbox escape via puppeteer allowlist – authenticated RCE and arbitrary file read via Chromium — Flowise (package flowise and flowise-components) in versions <= 3.1.2 përmbajnë një sandbox escape në vm2/@flowiseai/nodevm JavaScript sandbox. Një përdorues i vërtetuar me qasje në pikën përfundimtare/api/v1/nyje-funksion doganor mund t’i shpëtojë kutisë së rërës duke furnizuar parametrat e ekzekutueshëm të kontrolluar nga sulmuesi dhe ARGS në puppeteer.launch (), i cili nga brenda thërret child_process.spawn() jashtë kufirit të kutisë së rërës. Kjo lejon ekzekutimin e komandave arbitrare të OS si përdoruesi i procesit Flowise (rrënja në imazhin zyrtar të Docker) dhe zbulimi arbitrar i skedarit të hostit nëpërmjet trajtimit të skedarit të Chromium:// URL. Në versionet 3.0.8–3.1.2 shfrytëzimi…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin flowise, përditësojeni sa më shpejt në versionin 3.1.3 ose më të ri.
