Veille sécuritéFrontend
P3Critique
Une validation insuffisante de l’entrée `csvFile` dans Flowise permettait d’injecter du code exécuté par Pyodide, puis d’atteindre l’exécution de commandes sur l’hôte. Un utilisateur autorisé à créer ou modifier des workflows pouvait préparer un chatflow exploitable ensuite par une requête non authentifiée; la vulnérabilité est corrigée dans Flowise 3.1.3.
JavaScript
IdentifiantCVE-2026-69264
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.1.3
Source : NVD — CVE-2026-69264
Analyse technique
Le segment contrôlé de l’URI data CSV était interpolé dans un modèle de code Python exécuté par Pyodide; le pont JavaScript accessible depuis Node.js permettait ensuite des opérations système.
Impact, versions et correctif
Événement datéChangement substantiel de la fiche NVD daté du 2026-10-24T16:10:00.153Z, dans la période demandée; retenu comme mise à jour de sécurité.
ImpactExécution de code et de commandes système sur l’hôte Flowise.
Versions affectéesFlowise antérieur à 3.1.3
Version corrigée3.1.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.4
EPSS1,11% · percentile 65,7%
Publication2026-08-04T18:16:57.027Z
Mise à jour2026-10-24T16:10:00.153Z
Action recommandée
Mettre à jour Flowise vers la version 3.1.3 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).