CVE-2026-69264

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL

CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-69264 betrifft Flowise AI vor Version 3.1.3 und ist eine kritische Schwachstelle, die eine Remote Code Execution (RCE) ermöglicht. Ein Angreifer kann über eine manipulierte csvFile-Daten-URI Code in einem Python-Template einschleusen, der dann von Pyodide ausgeführt wird. Dies erlaubt das Ausbrechen aus der Python-Umgebung und die Ausführung beliebiger Datei-I/O- oder Betriebssystembefehle als Flowise-Prozess. Die Schwachstelle wird durch die fehlende Anwendung von Validierungspfaden auf das Bootstrap-Template begünstigt. Mit einer CVSS-Bewertung von 9.8 (KRITISCH) stellt diese Schwachstelle ein erhebliches Risiko dar, obwohl die EPSS-Wahrscheinlichkeit für einen Exploit derzeit bei nur 1% liegt. Die Schwachstelle ist noch nicht im CISA KEV-Katalog gelistet, was aber nicht bedeutet, dass sie nicht aktiv ausgenutzt werden könnte. SecBoard empfiehlt dringend, Flowise AI umgehend auf Version 3.1.3 oder höher zu aktualisieren, um diese kritische RCE-Schwachstelle zu schließen. Bis zur vollständigen Patch-Implementierung sollten Workspaces und Chatflows, die CSV Agent Nodes verwenden, genau überwacht und der Zugriff auf Benutzer mit entsprechenden Berechtigungen eingeschränkt werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Prior to 3.1.3, Flowise CSVAgent interpolates an attacker-controlled segment of the csvFile data URI directly into a Python source-code template that is then executed by Pyodide. Because Pyodide is loaded with the default js bridge to globalThis, which on Node.js exposes eval and dynamic import, the attacker can break out of the Python string literal, hand a JavaScript string to js.eval, dynamically import Node built-in modules such as fs and child_process, and execute arbitrary file I/O or OS commands as the Flowise process. The two validator paths around this code, validatePythonCodeForDataFrame and validateCustomReadCSVFunction, are never applied to the bootstrap template. A workspace user with chatflows:create or agentflows/chatflows update permission can plant a CSV Agent node with a crafted csvFile; once the chatflow is exposed via POST /api/v1/prediction/:id, any unauthenticated request triggers host remote code execution. This issue is fixed in version 3.1.3.

Betroffene Produkte

cpe:2.3:a:flowiseai:flowise:*:*:*:*:*:*:*:*

GitHub Advisories

GHSA-4j8x-x6v7-w9rqCRITICAL

Flowise: RCE via CSVAgent csvFile data URI base64 segment is interpolated into Python source without validation

npm/flowise→ 3.1.3

GitHub Advisory