Zaloguj się
Deutsch English Español Polski
Wysoka

Flowise Vulnerable to SQL Injection via `tableName` Parameter

  • Ujawniono: 09.04.2025
  • Aktualizacja: 11.10.2026 10:22

Flowise <= 2.2.3 is vulnerable to SQL Injection. via tableName parameter at Postgres_VectorStores.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm flowise-components < 2.2.4 2.2.4

Odnośniki

Ocena CVSS 7.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
Słabość (CWE)
CWE-89
Platforma
npm
Paczka
flowise-components
Ujawniono
09.04.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-gjx9-wg9x-7gvp - CC BY 4.0

Historia podatności: flowise-components

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (31) w archiwum
Wszystkich wpisów
31
Pierwsza → ostatnia
04.2025 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 16
  • Wysoka 12
  • Średnia 3

Ujawnienia w latach

Istotność:
  1. Flowise Vulnerable to SQL Injection via `tableName` Parameter ten wpis
    Wysoka · 7.6 CVE-2025-29189 < 2.2.4 2.2.4
  2. Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass
    Krytyczna CVE-2026-73487 < 3.1.3 3.1.3
  3. Flowise NodeVM sandbox escape via puppeteer allowlist - authenticated RCE and arbitrary file read via Chromium
    Krytyczna CVE-2026-73483 < 3.1.3 3.1.3
  4. Flowise: CSV Agent Prompt Injection Remote Code Execution Vulnerability
    Krytyczna CVE-2026-70477 < 3.1.3 3.1.3
  5. Flowise: RCE via CSVAgent csvFile data URI base64 segment is interpolated into Python source without validation
    Krytyczna CVE-2026-69264 < 3.1.3 3.1.3
  6. Flowise: Authenticated arbitrary file write in the `S3 Directory` document loader via unsanitized S3 object keys
    Wysoka ghsa-88pr-878c-24wf < 3.1.3 3.1.3
  7. Flowise: Pyodide validator Unicode homoglyph bypass leads to RCE
    Krytyczna CVE-2026-70470 < 3.1.3 3.1.3
  8. Flowise: CVE-2025-8943 Patch Bypass: npm_config_yes bypasses MCP environment variable blocklist (Unauthenticated RCE)
    Wysoka CVE-2026-69263 < 3.1.3 3.1.3
  9. Flowise RCE via SQLite Record Manager Node
    Krytyczna CVE-2026-69259 < 3.1.3 3.1.3
  10. Flowise: Remote Code Execution Vulnerability in CSVAgent
    Krytyczna CVE-2026-69256 < 3.1.3 3.1.3
  11. Flowise: CSV Agent Remote Code Execution via Pyodide Code Injection — Root Shell Verified
    Krytyczna CVE-2026-69255 < 3.1.3 3.1.3
  12. Flowise: RCE via NodeVM Sandbox Escape in executeJavaScriptCode() nodeVMOptions Override
    Krytyczna CVE-2026-69254 < 3.1.3 3.1.3
  13. Flowise Sandbox Escape to RCE
    Krytyczna CVE-2026-69253 < 3.1.3 3.1.3
  14. Flowise RCE via TypeORM DataSource
    Krytyczna CVE-2026-69251 < 3.1.3 3.1.3
  15. Flowise has an MCP Security Bypass that Enables RCE
    Wysoka CVE-2026-56274 < 3.1.2 3.1.2
  16. Flowise: CSV Agent Prompt Injection Remote Code Execution Vulnerability
    Krytyczna · 9.8 CVE-2026-41264 < 3.1.0 3.1.0
  17. Flowise: Airtable_Agent Code Injection Remote Code Execution Vulnerability
    Krytyczna · 9.8 CVE-2026-41265 < 3.1.0 3.1.0
  18. Flowise: Cypher Injection in GraphCypherQAChain
    Wysoka CVE-2026-41274 < 3.1.0 3.1.0
  19. Flowise: APIChain Prompt Injection SSRF in GET/POST API Chains
    Wysoka · 7.1 CVE-2026-41271 < 3.1.0 3.1.0
  20. Flowise: SSRF Protection Bypass (TOCTOU & Default Insecure)
    Wysoka · 7.1 CVE-2026-41272 < 3.1.0 3.1.0
  21. Flowise: SSRF Protection Bypass via Unprotected Built-in HTTP Modules in Custom Function Sandbox
    Wysoka · 7.1 CVE-2026-41270 < 3.1.0 3.1.0
Pokaż więcej (7) Widać 21 z 28

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.