CVE-2026-69255 — Flowise — Corretto in 3.1.3

Flowise è un'interfaccia utente drag & drop per costruire un flusso personalizzato basato su large language model. Prima della versione 3.1.3, il CSVAgent in packages/components/nodes/agents/CSVAgent/CSVAgent.ts estraeva i dati CSV controllati dall'attaccante con file.split(',').pop() e li inseriva direttamente in codice Python eseguibile come base64_string = "${base64String}" prima di chiamare Pyodide. La denylist validatePythonCodeForDataFrame() verificava solo il codice generato successivamente dall'LLM e non convalidava questo blocco di codice iniziale. Un attaccante autenticato poteva inserire una virgoletta di chiusura seguita da codice Python, usare il bridge js di Pyodide per caricare child_process di Node.js ed eseguire comandi arbitrari del sistema operativo come root nel container di Flowise. Il problema è stato risolto nella versione 3.1.3.