CVE-2026-41264 — Flowise — Behoben in 3.1.0

Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines individuell angepassten Flows für große Sprachmodelle. Vor Version 3.1.0 existiert der spezifische Fehler in der Methode `run` der Klasse `CSV_Agents`. Das Problem entsteht durch das fehlende ordnungsgemäße Sandboxing bei der Auswertung eines vom LLM generierten Python-Skripts. Ein Angreifer kann diese Schwachstelle ausnutzen, um Code im Kontext des Benutzers auszuführen, der den Server betreibt. Mithilfe von Prompt-Injection-Techniken kann ein nicht authentifizierter Angreifer, der Prompts an einen Chatflow mit dem CSV-Agent-Knoten senden kann, ein LLM dazu bringen, mit einem bösartigen Python-Skript zu antworten, das vom Angreifer kontrollierte Befehle auf dem Flowise-Server ausführt. Diese Schwachstelle ist in Version 3.1.0 behoben.