CVE-2026-69251: Flowise 通过 TypeORM DataSource 实现远程代码执行（RCE） | Kitploit

CVE-2026-69251

严重已发布

Flowise 通过 TypeORM DataSource 实现远程代码执行（RCE）

已发布: 2026年8月4日
已更新: 2026年8月4日
分配 CNA: GitHub_M
观察到的证据: 2026年8月29日

初级CVSS

9.0/ 10严重

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS概率估计

3.3%

低 · 未来 30 天

百分位: 87.9%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Flowise 是一个拖放式用户界面，用于构建自定义的大语言模型流程。在 3.1.3 版本之前，Flowise 的记录管理器和代理记忆节点允许用户通过 additionalConfig 输入设置任意的 TypeORM DataSource 选项，涉及文件包括 packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts、packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts、packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts、packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts 以及 packages/components/nodes/memory/AgentMemory/AgentMemory.ts。TypeORM DataSource 选项（如 entities、subscribers 和 migrations）可以加载本地 JavaScript 文件，这使得已认证用户能够通过上传 JavaScript 载荷并从 additionalConfig.entities 中引用它，从而在服务器上执行任意代码。此问题已在 3.1.3 版本中修复。

来源

1day-archive研究
对最近披露的 CVE 进行技术深度剖析和根本原因分析——逆向工程补丁、构建概念验证（PoC），并在 1 天窗口期内记录利用技术。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。