CVE-2026-70470
Açıklama
Flowise, özelleştirilmiş büyük dil modeli akışları oluşturmak için kullanılan sürükle ve bırak tabanlı bir kullanıcı arayüzüdür. 3.1.3 sürümünden önce, packages/components/src/pythonCodeValidator.ts dosyasındaki Flowise validatePythonCodeForDataFrame fonksiyonu, Unicode homoglyph tanımlayıcılar ile atlatılabilir; bu durum Pyodide içinde rastgele Python kodu çalıştırılmasına ve Pyodide js modül etkileşimi aracılığıyla Flowise ana bilgisayarında tam işletim sistemi komutu yürütülmesine olanak tanır. Doğrulayıcı, packages/components/nodes/agents/CSVAgent/CSVAgent.ts ve packages/components/nodes/agents/AirtableAgent/AirtableAgent.ts dosyalarındaki pyodide.runPythonAsync işlemini ASCII kelime sınırı kara listesiyle denetlemektedir. JavaScript regex kelime sınırları yalnızca ASCII destekliyken, Python 3 ayrıştırma sırasında tanımlayıcıları NFKC olarak normalize eder; bu nedenle __cl𝐚ss__, __subcl𝐚sses__, __b𝐚se__ ve __b𝐮iltins__ gibi homoglyph formlar kara listeyi atlatır ve ASCII karşılıkları olarak ayrıştırılır. Bu sorun 3.1.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- flowiseai flowise3.1.3 ya da sonraki bir sürüm
- flowise3.1.3 ya da sonraki bir sürüm
- flowise-components3.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
| flowise-componentsnpm | v < 3.1.3 | 3.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.