CVE-2026-69264

Podatność w Flowise 3.1.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez endpoint /api/v1/prediction/<flowId>. Nie podano dodatkowych szczegółów.

Flowise przed wersją 3.1.3 zawiera podatność ucieczki z piaskownicy vm2, która pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez obejście walidacji locale moment.js i załadowanie złośliwych plików JavaScript z magazynu dokumentów.

Flowise przed wersją 3.1.3 zawiera podatność obejścia walidatora kodu Python opartego na regex w węzłach CSV i Airtable Agent, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwego kodu przez prompt injection.

Podatność w Flowise (do wersji 3.1.4) w integracji OpenAI Assistants pozwala uwierzytelnionym atakującym na dostęp do danych uwierzytelniających innych obszarów roboczych poprzez podanie dowolnego UUID poświadczeń bez weryfikacji własności obszaru roboczego.

Flowise przed wersją 3.1.3 zawiera podatność w punkcie końcowym POST /api/v1/oauth2-credential/refresh/:credentialId, który jest na liście dozwolonych i nie wymaga uwierzytelnienia. Atakujący ze znajomością ID poświadczenia może odświeżyć token OAuth i uzyskać dostęp do połączonej usługi ofiary oraz wyczerpać limit odświeżania tokenów.

Flowise przed wersją 3.1.3 zawiera podatność na wstrzyknięcie promptu w węźle CSV Agent, co pozwala na wykonanie złośliwego skryptu Pythona w środowisku Pyodide bez sandboxa. Atakujący może wykorzystać to do wykonania dowolnego kodu w kontekście konta usługi.

Flowise przed wersją 3.1.3 zawiera podatność w walidatorze kodu Python, która pozwala na ominięcie zabezpieczeń za pomocą homoglifów Unicode, umożliwiając wykonanie dowolnego kodu Python w Pyodide oraz pełne wykonanie poleceń systemowych na hoście Flowise.

Flowise to interfejs typu 'przeciągnij i upuść' do budowania spersonalizowanych przepływów dużych modeli językowych. Przed wersją 3.1.3, obejście dla CVE-2025-8943 blokowało flagi -y i --yes w npx, ale plik packages/components/nodes/tools/MCP/core.ts odrzucał tylko PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH i NODE_OPTIONS według dokładnej nazwy zmiennej środowiskowej. Ponieważ npm czyta konfigurację ze zmiennych npm_config_*, ustawienie npm_config_yes=true odtwarzało zachowanie --yes bez użycia zablokowanej flagi, powodując automatyczną instalację i wykonanie nazwanego pakietu przez npx podczas uruchamiania niestandardowego serwera MCP. Ten problem został naprawiony w wersji 3.1.3.

Flowise to interfejs typu 'przeciągnij i upuść' do budowania spersonalizowanych przepływów dużych modeli językowych. Przed wersją 3.1.3, nieuwierzytelniony endpoint POST /api/v1/prediction/:id akceptował obiekt overrideConfig i bezwarunkowo rozprzestrzeniał go do wewnętrznych obiektów flowConfig i flowData w plikach packages/server/src/utils/buildChatflow.ts i packages/server/src/utils/index.ts bez sprawdzania apiOverrideStatus. To pozwalało nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych właściwości do kontekstu wykonania przepływu dowolnego publicznego chatflow, nadpisywanie wartości takich jak chatId, sessionId i chatHistory oraz kontrolowanie wartości rozwiązywanych przez zmienne szablonu $flow.* używane przez węzły przepływu. Ten problem został naprawiony w wersji 3.1.3.

Flowise przed wersją 3.1.0 (wersje 3.0.13 i wcześniejsze) używa słabych, zakodowanych na stałe domyślnych sekretów JWT ('auth_token', 'refresh_token') oraz domyślnych wartości odbiorcy i wystawcy ('AUDIENCE', 'ISSUER') w oprogramowaniu pośredniczącym uwierzytelniania passport. Gdy zmienne środowiskowe nie są ustawione, aplikacja po cichu używa tych publicznie znanych domyślnych wartości, co pozwala atakującemu na fałszowanie ważnych tokenów JWT i podszywanie się pod dowolnego użytkownika, w tym administratorów.