事件经过
Flowise 3.1.3之前版本在其Airtable智能体、CSV智能体和自定义MCP节点中包含四个严重代码注入漏洞(CVE-2026-73485、CVE-2026-73486、CVE-2026-73487、CVE-2026-73601，均为CVSS 9.0)。基于正则表达式的Python代码验证器(pythonCodeValidator)可以通过混淆绕过，允许攻击者向聊天流发送精心制作的提示词来执行任意Python代码——包括通过未被阻止的pandas函数(如pd.read_json())进行数据窃取和SSRF。自定义MCP节点在CUSTOM_MCP_PROTOCOL设置为stdio时，还允许通过操纵环境变量和参数(如PYTHONWARNINGS)进行命令注入。
影响分析
Flowise是一个广泛使用的开源低代码LLM/智能体编排平台。这些缺陷证明静态正则表达式黑名单不足以限制LLM智能体代码执行节点，而且——至关重要的是——利用路径是向聊天流发送精心制作的提示词，这意味着提示词注入直接实现了RCE、数据集窃取和针对内部基础设施的SSRF，至少在某些情况下无需认证。
攻击途径
攻击者向使用Airtable/CSV智能体节点的聊天流发送精心制作的提示词，通过混淆绕过基于正则表达式的Python代码验证器来实现任意Python代码执行，或操纵自定义MCP节点(stdio模式)上的环境变量/参数来实现命令注入
受影响系统
Flowise < 3.1.3
缓解措施
升级到Flowise 3.1.3或更高版本