Към съдържанието
Търсене

CVE-2026-56274: Flowise, инжекция

9.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Flowise before 3.1.2 contains multiple OS command injection vulnerabilities in the Custom MCP Server feature due to incomplete command-flag validation and a regex bypass in local file access restrictions. An attacker with a Flowise account of any role, or API access with view/update permissions for chatflows, can configure a malicious MCP server to bypass the validateCommandFlags blocklist (for example, 'docker build' is not blocked, and 'npx --yes' is not blocked while only '-y' is) and the validateArgsForLocalFileAccess checks, resulting in execution of arbitrary commands on the Flowise host.

Засегнати продукти

  • Flowise Flowise: преди 3.1.2; 3.1.2
  • Flowise Flowise Components: преди 3.1.2; 3.1.2

Вид слабост

История

  • 23 юни 2026 Публикувано

Други уязвимости в Flowise Flowise

Първоизточници

CVE-2026-56274: Flowise, инжекция | freedomonline.bg