CVE-2026-41265 — Flowise — Behoben in 3.1.0

Flowise ist eine Drag-&-Drop-Benutzeroberfläche zum Erstellen individueller Large-Language-Model-Abläufe. Vor Version 3.1.0 existiert die spezifische Schwachstelle in der Methode `run` der Klasse `Airtable_Agents`. Das Problem resultiert aus dem fehlenden ordnungsgemäßen Sandboxing bei der Auswertung eines vom LLM generierten Python-Skripts. Unter Verwendung von Prompt-Injection-Techniken kann ein nicht authentifizierter Angreifer, der Prompts an einen Chatflow mit dem Airtable-Agent-Node senden kann, ein LLM dazu bringen, mit einem bösartigen Python-Skript zu antworten, das vom Angreifer kontrollierte Befehle auf dem Flowise-Server ausführt. Diese Schwachstelle ist in Version 3.1.0 behoben.