何が起きたか
Flowise 3.1.3以前は、Airtable Agent、CSV Agent、およびCustom MCPノードに4つの重大なコードインジェクション脆弱性（CVE-2026-73485、CVE-2026-73486、CVE-2026-73487、CVE-2026-73601、すべてCVSS 9.0）を含んでいます。正規表現ベースのPythonコードバリデータ（pythonCodeValidator）は難読化を経由してバイパスでき、攻撃者はchatflowに細工されたプロンプトを送信して任意のPythonコードを実行することができます。これには、データ流出およびSSRFのためのブロック解除されていないpandas関数（pd.read_json()など）が含まれます。Custom MCPノードは追加的に、CUSTOM_MCP_PROTOCOLがstdioに設定されている場合、環境変数および引数（PYTHONWARNINGS など）を操作することでコマンドインジェクションを許可します。
なぜ重要か
Flowise は広く使用されているオープンソースのローコードLLM/エージェントオーケストレーションプラットフォームです。これらの欠陥は、静的正規表現ブロックリストはLLMエージェントコード実行ノードを包含するには不十分であることを実証しており、さらに重要なことに、悪用パスはchatflowに送信される細工されたプロンプトであり、つまりプロンプトインジェクションは少なくとも1つの場合に認証を要求せずにRCE、データセット流出、および内部インフラストラクチャに対するSSRFを直接達成します。
攻撃経路
攻撃者は細工されたプロンプトをAirtable/CSV AgentノードをまたはCustom MCPノード（stdioモード）を使用するchatflowに送信し、難読化を経由してPythonコードバリデータをバイパスして任意のPythonコード実行を達成するか、環境変数/引数を操作してコマンドインジェクションを達成します。
影響を受けるシステム
Flowise < 3.1.3
緩和策
Flowise 3.1.3以降にアップグレード