CVE-2026-73487

Kritik

Açıklama

3.1.3 sürümünden önceki Flowise, CSV ve Airtable Agent düğümlerinde, kimliği doğrulanmamış saldırganların istem enjeksiyonu (prompt injection) yoluyla kötü amaçlı kod enjekte etmesine olanak tanıyan regex tabanlı bir Python kodu doğrulayıcı atlatma açığı içermektedir. Saldırganlar; veri kümelerini sızdırmak, dahili servislere karşı SSRF gerçekleştirmek veya kimlik doğrulaması gerektirmeyen tahmin API'si üzerinden kod çalıştırmak için engellenmemiş pd.read_json() gibi pandas fonksiyonlarını istismar edebilirler.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünFlowise

Yayın13 Ağu 2026

İlk görülme13 Ağu 2026

Zayıflık türüCWE-94Kod enjeksiyonu

Nasıl düzeltilir

Güncelleyin

flowise3.1.3 ya da sonraki bir sürüm
flowise-components3.1.3 ya da sonraki bir sürüm

Üretici duyuruları

github.com/FlowiseAI/Flowise/security/advisories/GHSA-w7x8-q2gp-5cgg

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
flowiseai flowise	v ≤ 3.1.4	—
flowisenpm	v < 3.1.3	3.1.3
flowise-componentsnpm	v < 3.1.3	3.1.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.