CVE-2026-69263

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.7%
CWE: CWE-184
KEV Durumu: Hayır

Yayım tarihi: 4 Ağustos 2026

Etkilenen: flowiseai flowise

Flowise, büyük bir dil modeli akışını özelleştirmek için bir sürükle ve bırak kullanıcı arayüzüdür. 3.1.3 sürümünden önce, CVE-2025-8943 için yapılan hafifletme, npx'de -y ve --yes bayraklarını engelliyordu, ancak paketler/bileşenler/düğümler/araçlar/MCP/core.ts yalnızca PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH ve NODE_OPTIONS ortam değişken adlarını tam olarak reddediyordu. Npm, npm_config_* değişkenlerinden yapılandırmayı okuduğu için, npm_config_yes=true ayarlamak, --yes davranışını engellenen bir bayrak kullanmadan yeniden üretti ve bu, bir Özel MCP sunucusu başlatıldığında npx'nin adlandırılan paketi otomatik olarak yüklemesine ve çalıştırmasına neden oldu. Bu sorun 3.1.3 sürümünde çözüldü.

Orijinal açıklama (İngilizce)

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, the mitigation for CVE-2025-8943 blocked -y and --yes flags on npx, but packages/components/nodes/tools/MCP/core.ts denied only PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH, and NODE_OPTIONS by exact environment-variable name. Because npm reads configuration from npm_config_* variables, setting npm_config_yes=true reproduced --yes behavior without using a blocked flag, causing npx to auto-install and execute the named package when a Custom MCP server launched. This issue is fixed in version 3.1.3.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.