CVE-2026-41265 — Flowise — Corrigé dans 3.1.0

Flowise est une interface utilisateur par glisser-déposer permettant de construire un flux de grand modèle de langage personnalisé. Avant la version 3.1.0, une faille spécifique existe dans la méthode `run` de la classe `Airtable_Agents`. Le problème résulte de l'absence de sandboxing approprié lors de l'évaluation d'un script Python généré par un LLM. En utilisant des techniques d'injection de prompt, un attaquant non authentifié capable d'envoyer des prompts à un chatflow utilisant le nœud Airtable Agent peut amener un LLM à répondre avec un script Python malveillant qui exécute des commandes contrôlées par l'attaquant sur le serveur Flowise. Cette vulnérabilité est corrigée dans la version 3.1.0.