CVE-2026-69263
Açıklama
Flowise, özelleştirilmiş bir büyük dil modeli akışı oluşturmak için sürükle-bırak kullanıcı arayüzüdür. 3.1.3 sürümünden önce, CVE-2025-8943 için alınan önlem npx üzerindeki -y ve --yes bayraklarını engelliyordu, ancak packages/components/nodes/tools/MCP/core.ts yalnızca PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH ve NODE_OPTIONS değişkenlerini tam ortam değişkeni adıyla reddediyordu. npm yapılandırmayı npm_config_* değişkenlerinden okuduğu için, npm_config_yes=true ayarlanması engellenen bir bayrak kullanılmadan --yes davranışını yeniden üretiyor ve bir Custom MCP sunucusu başlatıldığında npx'in belirtilen paketi otomatik olarak kurup çalıştırmasına neden oluyordu. Bu sorun 3.1.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- flowiseai flowise3.1.3 ya da sonraki bir sürüm
- flowise3.1.3 ya da sonraki bir sürüm
- flowise-components3.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
| flowise-componentsnpm | v < 3.1.3 | 3.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.