CVE-2026-91932
Flowise vor Version 3.1.4 enthält eine Schwachstelle zur Umgehung der Validierung in der MCP-Serverkonfiguration, die authentifizierten Angreifern die Remote-Codeausführung über einen nicht validierten cwd-Parameter ermöglicht. Angreifer können die Pfadvalidierung umgehen, indem sie unauffällige Dateinamen im args-Array verwenden und gleichzeitig das Arbeitsverzeichnis kontrollieren, um schädlichen Code auszuführen.
CVSS-Score8.5 / 10
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:HSchwachstellentyp (CWE)CWE-20
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.