Към съдържанието
Търсене

CVE-2026-41268: FlowiseAI Flowise, невалидиран вход

7.7

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, Flowise is vulnerable to a critical unauthenticated remote command execution (RCE) vulnerability. It can be exploited via a parameter override bypass using the FILE-STORAGE:: keyword combined with a NODE_OPTIONS environment variable injection. This allows for the execution of arbitrary system commands with root privileges within the containerized Flowise instance, requiring only a single HTTP request and no authentication or knowledge of the instance. This vulnerability is fixed in 3.1.0.

Засегнати продукти

  • FlowiseAI Flowise: < 3.1.0

Вид слабост

История

  • 23 април 2026 Публикувано

Други уязвимости в FlowiseAI Flowise

Първоизточници

CVE-2026-41268: FlowiseAI Flowise, невалидиран вход | freedomonline.bg