CVE-2026-73484

8.1 Élevée

Publiée le 13/08/2026 à 14:17 · Modifiée le 03/09/2026 à 20:59 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

Flowise before 3.1.3 contains a sandbox escape vulnerability in pythonCodeValidator.ts that fails to block native Pandas DataFrame methods like to_csv, to_json, pipe, and query. Authenticated attackers can exploit this to exfiltrate uploaded CSV data or write arbitrary files to the server filesystem.

Traduire en français

Produits concernés

FlowiseAI Flowise

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.6 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	8.1 Élevée	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N`

Faiblesses (CWE)

CWE-184

Références

https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-x58f-9m57-qc4m ExploitVendor Advisory
https://www.vulncheck.com/advisories/flowise-before-sandbox-escape-via-pandas-methods Third Party Advisory
https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-x58f-9m57-qc4m ExploitVendor Advisory

CVE-2026-73484

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs