Flowise : contournement Unicode du filtre de code Python

Veille sécuritéFrontend

P3Critique

Une validation Python de Flowise pouvait être contournée avec des caractères Unicode ressemblant à des caractères ASCII, permettant l’exécution de code Python dans Pyodide et des commandes système sur l’hôte. Les versions antérieures à 3.1.3 sont concernées; Flowise indique que la faille est corrigée dans la version 3.1.3.

IdentifiantCVE-2026-70470

GravitéCritique

Exploitationnon connue / non déterminée

Correctif3.1.3

Source : NVD — CVE-2026-70470

Analyse technique

La validation utilisait des frontières de mots JavaScript essentiellement ASCII, alors que Python normalise certains identifiants Unicode; des identifiants homoglyphes pouvaient ainsi éviter la liste noire. L’interopérabilité JavaScript de Pyodide permettait ensuite l’exécution de commandes sur l’hôte.

Impact, versions et correctif

Événement datéChangement substantiel de la fiche NVD daté du 2026-10-24T15:10:00.190Z, dans la période demandée; retenu comme mise à jour de sécurité.

ImpactExécution de code et de commandes système sur l’hôte Flowise.

Versions affectéesFlowise antérieur à 3.1.3

Version corrigée3.1.3

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.5

EPSS0,97% · percentile 61,7%

Publication2026-08-04T18:16:57.930Z

Mise à jour2026-10-24T15:10:00.190Z

Action recommandée

Mettre à jour Flowise vers la version 3.1.3 ou ultérieure.

Sources

NVD — CVE-2026-70470

Priorisation DFS : P3 · 1 source(s).