CVE-2026-41264 — Flowise — Corregido en 3.1.0

Flowise es una interfaz de arrastrar y soltar para crear un flujo personalizado de modelos de lenguaje de gran tamaño. Antes de la versión 3.1.0, existe un fallo específico en el método run de la clase CSV_Agents. El problema se debe a la falta de un sandboxing adecuado al evaluar un script de Python generado por un LLM. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del usuario que ejecuta el servidor. Mediante técnicas de inyección de prompts, un atacante no autenticado con la capacidad de enviar prompts a un chatflow que utiliza el nodo CSV Agent puede convencer a un LLM para que responda con un script de Python malicioso que ejecute comandos controlados por el atacante en el servidor de Flowise. Esta vulnerabilidad está corregida en la versión 3.1.0.