Iniciar sesión
Deutsch English Español Polski
Alta

Flowise Vulnerable to SQL Injection via `tableName` Parameter

  • Publicada: 09.04.2025
  • Actualizado: 11.10.2026 10:22

Flowise <= 2.2.3 is vulnerable to SQL Injection. via tableName parameter at Postgres_VectorStores.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm flowise-components < 2.2.4 2.2.4

Referencias

Puntuación CVSS 7.6/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
Debilidad (CWE)
CWE-89
Plataforma
npm
Paquete
flowise-components
Publicada
09.04.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-gjx9-wg9x-7gvp - CC BY 4.0

Historial de vulnerabilidades: flowise-components

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (31) en el archivo
Entradas en total
31
Primera → última
04.2025 10.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 16
  • Alta 12
  • Media 3

Divulgaciones por año

Gravedad:
  1. Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass
    Crítica CVE-2026-73487 < 3.1.3 3.1.3
  2. Flowise NodeVM sandbox escape via puppeteer allowlist - authenticated RCE and arbitrary file read via Chromium
    Crítica CVE-2026-73483 < 3.1.3 3.1.3
  3. Flowise: CSV Agent Prompt Injection Remote Code Execution Vulnerability
    Crítica CVE-2026-70477 < 3.1.3 3.1.3
  4. Flowise: RCE via CSVAgent csvFile data URI base64 segment is interpolated into Python source without validation
    Crítica CVE-2026-69264 < 3.1.3 3.1.3
  5. Flowise: Authenticated arbitrary file write in the `S3 Directory` document loader via unsanitized S3 object keys
    Alta ghsa-88pr-878c-24wf < 3.1.3 3.1.3
  6. Flowise: Pyodide validator Unicode homoglyph bypass leads to RCE
    Crítica CVE-2026-70470 < 3.1.3 3.1.3
  7. Flowise: CVE-2025-8943 Patch Bypass: npm_config_yes bypasses MCP environment variable blocklist (Unauthenticated RCE)
    Alta CVE-2026-69263 < 3.1.3 3.1.3
  8. Flowise RCE via SQLite Record Manager Node
    Crítica CVE-2026-69259 < 3.1.3 3.1.3
  9. Flowise: Remote Code Execution Vulnerability in CSVAgent
    Crítica CVE-2026-69256 < 3.1.3 3.1.3
  10. Flowise: CSV Agent Remote Code Execution via Pyodide Code Injection — Root Shell Verified
    Crítica CVE-2026-69255 < 3.1.3 3.1.3
  11. Flowise: RCE via NodeVM Sandbox Escape in executeJavaScriptCode() nodeVMOptions Override
    Crítica CVE-2026-69254 < 3.1.3 3.1.3
  12. Flowise Sandbox Escape to RCE
    Crítica CVE-2026-69253 < 3.1.3 3.1.3
  13. Flowise RCE via TypeORM DataSource
    Crítica CVE-2026-69251 < 3.1.3 3.1.3
  14. Flowise has an MCP Security Bypass that Enables RCE
    Alta CVE-2026-56274 < 3.1.2 3.1.2
  15. Flowise: CSV Agent Prompt Injection Remote Code Execution Vulnerability
    Crítica · 9.8 CVE-2026-41264 < 3.1.0 3.1.0
  16. Flowise: Airtable_Agent Code Injection Remote Code Execution Vulnerability
    Crítica · 9.8 CVE-2026-41265 < 3.1.0 3.1.0
  17. Flowise: Cypher Injection in GraphCypherQAChain
    Alta CVE-2026-41274 < 3.1.0 3.1.0
  18. Flowise: APIChain Prompt Injection SSRF in GET/POST API Chains
    Alta · 7.1 CVE-2026-41271 < 3.1.0 3.1.0
  19. Flowise: SSRF Protection Bypass (TOCTOU & Default Insecure)
    Alta · 7.1 CVE-2026-41272 < 3.1.0 3.1.0
  20. Flowise: SSRF Protection Bypass via Unprotected Built-in HTTP Modules in Custom Function Sandbox
    Alta · 7.1 CVE-2026-41270 < 3.1.0 3.1.0
  21. Flowise: Parameter Override Bypass Remote Command Execution
    Alta · 7.7 CVE-2026-41268 < 3.1.0 3.1.0
  22. Flowise: Code Injection in CSVAgent leads to Authenticated RCE
    Crítica · 8.8 CVE-2026-41137 < 3.1.0 3.1.0
  23. Flowise: Remote code execution vulnerability in AirtableAgent.ts caused by lack of input verification when using `Pandas`.
    Alta · 8.3 CVE-2026-41138 < 3.1.0 3.1.0
  24. Flowise: Authenticated RCE Via MCP Adapters
    Crítica · 9.9 CVE-2026-40933 < 3.1.0 3.1.0
  25. Flowise affected by Server-Side Request Forgery (SSRF) in HTTP Node Leading to Internal Network Access
    Alta · 7.1 CVE-2026-31829 < 3.0.13 3.0.13
  26. Flowise is vulnerable to arbitrary file exposure through its ReadFileTool
    Alta · 7.7 ghsa-j44m-5v8f-gc9c < 3.0.8 3.0.8
  27. Flowise is vulnerable to arbitrary file write through its WriteFileTool
    Crítica · 9.9 CVE-2025-61913 < 3.0.8 3.0.8
  28. Flowise Vulnerable to SQL Injection via `tableName` Parameter esta entrada
    Alta · 7.6 CVE-2025-29189 < 2.2.4 2.2.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.