CVE-2026-41268: Flowise: bypass de sobrescrita de parâmetros leva a RCE sem autenticação
As versões do Flowise anteriores à 3.1.0 contêm uma falha crítica que permite execução remota de comandos sem autenticação, por meio de um bypass de sobrescrita de parâmetros combinado com injeção de variável de ambiente. Segundo o registro, uma única requisição HTTP pode executar comandos arbitrários com privilégios de root na instância em contêiner. A principal medida é atualizar para a 3.1.0 ou posterior, e não há exploração confirmada na natureza nas fontes consultadas.
Visão geral
O Flowise é uma interface de arrastar e soltar para construir fluxos personalizados de modelos de linguagem de grande porte. Este registro descreve uma falha crítica nas versões anteriores à 3.1.0 que pode permitir execução remota de comandos sem autenticação, por meio de um bypass de sobrescrita de parâmetros combinado com injeção de variável de ambiente.
Impacto
- Segundo o registro, uma única requisição HTTP é suficiente para executar comandos arbitrários no sistema.
- Os comandos são executados com privilégios de root dentro da instância do Flowise em contêiner.
- A NVD atribui pontuação CVSS de 9.8 (crítica), e o impacto técnico no SSVC está registrado como total.
Produtos e versões afetadas
- Produto: Flowiseai Flowise.
- Afetado: versões anteriores à 3.1.0.
- Corrigido em: 3.1.0, conforme a descrição do registro.
A lista estruturada de correções do registro está vazia, então a versão corrigida vem da descrição e deve ser confirmada no aviso do fabricante.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa registrada ali. Os dados do SSVC classificam a exploração como prova de conceito, e a referência de aviso do fabricante está marcada como relacionada a exploit. Não há exploração confirmada na natureza nas fontes consultadas.
Correção e mitigação
- Atualize o Flowise para a versão 3.1.0 ou posterior como ação principal.
- Enquanto a atualização não for aplicada, reduza a exposição mantendo a instância longe de redes não confiáveis e restringindo o acesso aos seus endpoints de fluxos e administração.
- Revise a configuração do contêiner e os privilégios com que ele roda, já que o registro descreve execução em nível de root.
- Consulte o aviso oficial de segurança no GitHub para orientações do fabricante.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns à instância vindas de origens desconhecidas.
- Monitore o contêiner quanto a processos filhos inesperados, conexões de saída ou alterações na configuração de ambiente.
- Trate qualquer sinal de comprometimento como incidente e renove as credenciais que a instância poderia acessar.
Limitações das informações disponíveis
- O registro não confirma as condições exatas das requisições nem se há prova de conceito pública completa, e esta análise não as fornece.
- O registro não informa versões afetadas além do intervalo anterior à 3.1.0 nem detalhes adicionais de correção.
- A entrada EPSS traz a data de 2026-10-23, que deve ser verificada na fonte antes de ser usada.
Perguntas frequentes
Quais versões do Flowise são afetadas?
Segundo o registro, as versões anteriores à 3.1.0 são afetadas, e a vulnerabilidade está corrigida na 3.1.0.
Esta falha exige autenticação?
O registro a descreve como sem autenticação e explorável com uma única requisição HTTP, motivo da classificação crítica.
Há exploração conhecida na natureza?
Ela não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas. Os dados do SSVC registram uma prova de conceito.
O que os administradores devem fazer primeiro?
Atualizar o Flowise para a 3.1.0 ou posterior e, enquanto isso, restringir a exposição de rede e revisar os privilégios do contêiner.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.