Impatto Sistemico

Critico (78.71)

Sintesi

Disponibili Proof of Concept (PoC) relativi a 10 nuove vulnerabilità individuate in Flowise, piattaforma open source per la creazione di agenti AI, chatbot e workflow basati su modelli linguistici.

Tipologia

• Remote Code Execution
• Security Restrictions Bypass
• Information Disclosure
• Arbitrary File Write

Descrizione e potenziali impatti

Sono stati recentemente resi pubblici diversi Proof of Concept (PoC) relativi a vulnerabilità che interessano la piattaforma Flowise. Di seguito i dettagli:

• CVE-2026-73483 : la vulnerabilità – di tipo ” OS Command Injection ” e con score CVSS v4.0 pari 9.4 – interessa il “Custom Function Node” di Flowise, esposto tramite l’endpoint /api/v1/node-custom-function , che utilizza la sandbox JavaScript vm2/@flowiseai/nodevm . Un utente malevolo autenticato, con accesso all’endpoint /api/v1/node-custom-function può fornire valori appositamente predisposti nei parametri ” executablePath ” e ” args” utilizzati dalla funzione puppeteer.launch() , inducendo l’applicazione ad avviare processi controllati dall’attaccante al di fuori della sandbox vm2. Tale vulnerabilità, consente di aggirare i meccanismi di isolamento della sandbox ed eseguire codice arbitrario sul sistema che ospita Flowise;
• CVE-2026-73484 : la vulnerabilità – di tipo “Incomplete List of Disallowed Inputs” e con score CVSS v4.0 pari a 8.6 – interessa il componente “CSVAgent” di Flowise e, in particolare, il meccanismo di validazione del codice Python implementato nel modulo pythonCodeValidator.ts . La vulnerabilità è causata da controlli di sicurezza insufficienti all’interno della sandbox Pyodide: la denylist non include alcuni metodi nativi di Pandas, quali to_csv() , to_json() , query() e pipe() . Un utente malevolo autenticato, che riesce a interagire con “CSVAgent”, può fornire input appositamente predisposti per indurre il modello a generare codice Python contenente tali metodi, aggirando i controlli della sandbox Pyodide . Tale vulnerabilità, qualora sfruttata, consente di esfiltrare dati elaborati dal “CSVAgent” e di scrivere file arbitrari sul filesystem del sistema che ospita Flowise;
• CVE-2026-73485 : la vulnerabilità – di tipo “Code Injection” e con score CVSS v4.0 pari a 9.0 – interessa il nodo “Airtable Agent” di Flowise ed è dovuta alla modalità di validazione del codice Python generato dal modello, prima della sua esecuzione tramite Pyodide . Un utente malevolo potrebbe inviare input appositamente predisposti ad un chatflow che utilizza il nodo “Airtable Agent”, inducendo il modello a generare codice Python malevolo. Tale vulnerabilità consente di eludere i meccanismi di sicurezza previsti per la validazione del codice ed eseguire codice arbitrario sul sistema che ospita Flowise con i privilegi dell’utente che esegue il servizio;
• CVE-2026-73486 : la vulnerabilità – di tipo “Code Injection” e con score CVSS v4.0 pari a 9.0 – interessa il nodo “CSVAgent” di Flowise e, in particolare, il parametro customReadCSV , il cui valore viene utilizzato per costruire ed eseguire codice Python tramite Pyodide . La vulnerabilità è causata da un’insufficiente validazione dell’input: un utente malevolo autenticato può fornire un valore appositamente predisposto nel parametro customReadCSV , inducendo l’applicazione ad eseguire codice Python ed eludendo i controlli di sicurezza previsti. Tale vulnerabilità consente di aggirare i meccanismi di validazione del codice ed eseguire codice arbitrario sul sistema che ospita Flowise con i privilegi dell’utente che esegue il servizio;
• CVE-2026-73487 : la vulnerabilità – di tipo “Code Injection” e con score CVSS v4.0 pari a 9.0 – interessa i nodi “CSVAgent” e “Airtable Agent” di Flowise, che utilizzano la funzione validatePythonCodeForDataFrame() per validare il codice Python generato dal modello. La vulnerabilità è causata da inadeguati controlli di sicurezza dell’input: un utente malevolo non autenticato può inviare input appositamente predisposti all’endpoint /api/v1/prediction/:id , inducendo l’applicazione a generare ed eseguire codice Python che aggira i controlli di sicurezza basati su una blocklist incompleta. Tale vulnerabilità consente di esfiltrare dati sensibili e di effettuare attacchi di tipo “Server-Side Request Forgery (SSRF)” verso risorse interne;
• CVE-2026-73488 : la vulnerabilità – di tipo “Authorization Bypass” e con score CVSS v4.0 pari a 6.0 – interessa l’endpoint /api/v1/organization/customer-default-source di Flowise. La vulnerabilità è causata dall’assenza di adeguati controlli di autorizzazione sul parametro customerId , il cui valore viene utilizzato senza verificare che l’utente richiedente sia autorizzato ad accedere alle informazioni associate. Un utente malevolo autenticato può modificare il valore del parametro customerId all’interno della richiesta HTTP e ottenere informazioni riferite ad altri utenti. Tale vulnerabilità consente di accedere a dati sensibili di terzi, inclusi indirizzi e-mail, informazioni di fatturazione, saldi degli account e configurazioni di pagamento;
• CVE-2026-73601 : la vulnerabilità – di tipo “Eval Injection” e con score CVSS v4.0 pari a 9.0 – interessa il nodo “Custom MCP” di Flowise quando è abilitato il protocollo StdioClientTransport tramite l’impostazione CUSTOM_MCP_PROTOCOL=stdio . La vulnerabilità è causata da controlli insufficienti sui parametri di configurazione e sulle variabili d’ambiente utilizzate per avviare nuovi processi. Un utente malevolo autenticato può fornire una configurazione “Custom MCP” appositamente predisposta, inducendo l’applicazione ad eseguire comandi arbitrari sul sistema attraverso processi node o python3 ;
• CVE-2026-73602 : la vulnerabilità – di tipo “Eval Injection” e con score CVSS v4.0 pari a 9.0 – interessa i componenti “Custom Function Agent” e “Custom Tool” di Flowise, che utilizzano la sandbox FlowiseAI/nodevm basata su vm2 per l’esecuzione di codice JavaScript. La vulnerabilità è causata dall’utilizzo di una versione vulnerabile di vm2 , che consente di aggirare i meccanismi di isolamento della sandbox ed eseguire codice al di fuori dell’ambiente ristretto previsto. Un utente malevolo autenticato può fornire codice JavaScript appositamente predisposto, ottenendo l’evasione dalla sandbox e l’esecuzione di comandi sul sistema sottostante;
• CVE-2026-73603 : la vulnerabilità – di tipo “Missing Authorization” e con score CVSS v4.0 pari a 6.3 – interessa l’endpoint /api/v1/text-to-speech/generate di Flowise, esposto senza autenticazione e utilizzato per la generazione audio tramite servizi Text-to-Speech. La vulnerabilità è causata dall’assenza di controlli che verifichino se il chatflowId fornito appartenga ad un chatflow pubblico prima di utilizzare le relative credenziali TTS. Un utente malevolo può inviare richieste appositamente predisposte all’endpoint specificando l’identificativo di un chatflow valido, inducendo l’applicazione ad utilizzare le credenziali OpenAI o ElevenLabs associate a tale chatflow. Tale vulnerabilità consente di abusare delle credenziali TTS di altri utenti, generare contenuti audio non autorizzati e causare consumo di quote e costi a carico del proprietario del chatflow;
• CVE-2026-73604 : la vulnerabilità – di tipo “Information Disclosure” e con score CVSS pari a 6.5 – interessa l’endpoint /api/v1/credentials/:id di Flowise, utilizzato per recuperare le credenziali memorizzate dall’applicazione. La vulnerabilità è causata da un meccanismo di redazione incompleto che maschera esclusivamente i campi definiti come password, esponendo invece in chiaro informazioni sensibili memorizzate in campi di tipo string . Un utente malevolo autenticato con permessi di visualizzazione delle credenziali può interrogare l’endpoint e ottenere segreti applicativi, quali stringhe di connessione a database, chiavi di accesso cloud e credenziali di servizi esterni.

Prodotti e/o versioni affette

Flowise, versioni precedenti alla 3.1.4

Azioni di mitigazione

Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.