Impatto Sistemico

Alto (66.02)

Sintesi

Rilasciati aggiornamenti di sicurezza per Flowise, piattaforma open source per la realizzazione di workflow basati su modelli linguistici. Tra le vulnerabilità segnalate se ne evidenziano alcune per le quali risultano disponibili dei Proof of Concept.

Tipologia

• Remote Code Execution
• Information Disclosure
• Authentication Bypass
• Data Manipulation
• Security Restrictions Bypass

Descrizione e potenziali impatti

Sono stati recentemente resi pubblici diversi Proof of Concept (PoC) relativi a vulnerabilità che interessano la piattaforma Flowise riportati di seguito:

• CVE-2026-70476: la vulnerabilità potrebbe consentire la manipolazione non autorizzata di informazioni associate ai processi di billing e gestione delle risorse applicative. Un eventuale sfruttamento potrebbe compromettere l’integrità dei dati, alterare processi amministrativi e generare modifiche non autorizzate ai meccanismi di contabilizzazione delle risorse.
• CVE-2026-70474: la vulnerabilità interessa i meccanismi di autenticazione e autorizzazione basati su OAuth. Un attaccante potrebbe ottenere accessi non autorizzati a risorse e funzionalità applicative, con potenziale compromissione della riservatezza dei dati e delle identità digitali associate alla piattaforma.
• CVE-2026-70473: la vulnerabilità potrebbe consentire l’accesso non autorizzato a funzionalità e informazioni che dovrebbero risultare protette. Lo sfruttamento potrebbe permettere l’elusione di controlli applicativi e l’accesso non autorizzato a dati sensibili.
• CVE-2026-70470: la vulnerabilità potrebbe consentire l’esecuzione di operazioni non previste sui componenti vulnerabili della piattaforma. Un eventuale sfruttamento potrebbe compromettere l’integrità dell’ambiente applicativo e favorire attività ostili successive.
• CVE-2026-69264: la vulnerabilità interessa il componente CSVAgent e può consentire l’esecuzione di codice remoto attraverso l’iniezione di contenuto controllato dall’attaccante in codice Python eseguito tramite Pyodide. Un attaccante potrebbe eseguire comandi di sistema, accedere a file locali e compromettere completamente l’istanza vulnerabile.
• CVE-2026-69263: la vulnerabilità potrebbe consentire l’elusione di una precedente mitigazione relativa all’esecuzione di pacchetti tramite npx. Lo sfruttamento potrebbe permettere l’installazione e l’esecuzione non autorizzata di codice con i privilegi del processo Flowise, con conseguente compromissione del sistema.
• CVE-2026-69257: la vulnerabilità potrebbe consentire il bypass delle protezioni SSRF tramite indirizzi IPv4-mapped IPv6. Un attaccante potrebbe raggiungere servizi interni, endpoint cloud metadata o risorse normalmente non accessibili, con potenziale esposizione di credenziali, token e informazioni sensibili.
• CVE-2026-69256: la vulnerabilità interessa il nodo CSVAgent e consente l’esecuzione di codice arbitrario sfruttando la funzione pandas.read_pickle() per aggirare i controlli di sicurezza implementati. L’impatto può tradursi nella completa compromissione dell’istanza Flowise e nell’esecuzione di comandi arbitrari.
• CVE-2026-69255: la vulnerabilità potrebbe consentire l’esecuzione di codice arbitrario tramite iniezione di codice Python nel componente CSVAgent. Le evidenze pubblicate riportano l’ottenimento di una shell con privilegi elevati all’interno del container Flowise, con possibilità di accesso ai dati, esecuzione di comandi arbitrari e movimenti laterali verso ulteriori sistemi raggiungibili dall’host compromesso.

Prodotti e/o versioni affette

Flowise

• Versioni precedenti alla 3.1.2 (compresa)

Azioni di mitigazione

Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.