CVE-2026-41274: Flowise: injeção de Cypher no GraphCypherQAChain
A CVE-2026-41274 afeta versões do Flowise anteriores à 3.1.0, em que o nó GraphCypherQAChain encaminha a entrada do usuário para a execução de consultas Cypher sem sanitização adequada. Segundo o registro, um atacante poderia executar comandos Cypher arbitrários no banco Neo4j subjacente, com risco de exfiltração, alteração ou exclusão de dados. O registro indica pontuação CVSS base 9.8 pela NVD e informa que a correção está na 3.1.0.
Visão geral
O Flowise é uma interface de arrastar e soltar para construir fluxos customizados com modelos de linguagem de grande porte. A CVE-2026-41274 é uma falha de injeção de Cypher no nó GraphCypherQAChain, classificada como CWE-943 no registro. Segundo os dados baseados no aviso do fabricante, a entrada do usuário chega à execução de consultas Cypher sem sanitização adequada.
Impacto
- O registro informa que comandos Cypher injetados podem ser executados contra o banco de dados Neo4j subjacente.
- As consequências listadas incluem exfiltração, modificação e exclusão de dados.
- O registro traz pontuação CVSS base 9.8 pela NVD e pontuação 9.3 pelo GitHub. São pontuações registradas; o registro não descreve como foram calculadas.
Produtos e versões afetados
- Flowiseai Flowise: versões anteriores à 3.1.0.
- FlowiseAI Flowise-components: versões anteriores à 3.1.0.
Status de exploração
- O registro mostra que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Os dados SSVC do registro classificam a exploração como 'poc', indicando nível de prova de conceito. Isso não confirma exploração ativa.
Correção e mitigação
- Atualize o Flowise e o Flowise-components para a 3.1.0 ou posterior, pois o registro informa que a correção está na 3.1.0.
- Até a atualização, limite quem pode criar ou editar fluxos que usam o GraphCypherQAChain e restrinja o acesso à interface do Flowise a usuários confiáveis.
- Aplique o princípio do menor privilégio à conta do Neo4j usada pelo Flowise, para que leia e grave apenas os dados estritamente necessários.
Orientações de detecção
- Revise os logs de consultas do Neo4j em busca de operações de escrita ou exclusão inesperadas originadas da conta de serviço do Flowise.
- Revise os logs do Flowise em busca de entradas incomuns enviadas a cadeias que executam consultas em grafos.
Limitações das informações disponíveis
- O registro não descreve o caminho exato de código vulnerável nem o formato de entrada que dispara a falha.
- A lista de correções do registro está vazia. A versão corrigida 3.1.0 vem da descrição e dos dados de versões afetadas.
- O registro não traz o nome da CWE. Os valores de EPSS são apresentados como registrados e representam uma estimativa de probabilidade, não exploração confirmada.
Perguntas frequentes
A CVE-2026-41274 é conhecida por ser explorada na natureza?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Qual versão corrige o problema?
O registro informa que a correção está na 3.1.0, então instalações afetadas devem ser atualizadas para a 3.1.0 ou versão posterior.
Quais dados podem ser afetados?
O registro indica que comandos Cypher injetados poderiam ler, alterar ou excluir dados do banco Neo4j subjacente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.