Flowise: RCE critica in CSV Agent, rimosso il componente dal codice

La Zero Day Initiative ha pubblicato il 9 settembre 2026 l'advisory ZDI-26-634, che documenta una vulnerabilità di esecuzione remota di codice nel componente CSV_Agent della piattaforma low-code Flowise. Il bug, tracciato come CVE-2026-70477 con punteggio CVSS 9.8 secondo le liste pubblicate da ZDI, consente a un attaccante remoto non autenticato di ottenere esecuzione arbitraria nel contesto del servizio. La correzione non è stata una patch: il vendor ha rimosso completamente il componente dal codice sorgente, insieme al parallelo AirtableAgent.

La catena di attacco: quando i dati attraversano il perimetro

Il meccanismo della vulnerabilità è documentato nell'advisory ZDI con precisione tecnica. La falla risiede nel metodo run della classe CSV_Agents: dati non attendibili forniti dall'utente vengono utilizzati per costruire un prompt Large Language Model senza una sanificazione adeguata. L'input malevolo, inserito in un file CSV caricato nell'agente, attraversa così il confine tra dato esterno e istruzione interna al sistema.

La conseguenza è l'esecuzione di codice arbitrario nel contesto dell'account di servizio che esegue Flowise. Il punteggio CVSS 9.8 — riportato nelle liste pubblicate di ZDI per CVE-2026-70477 — riflette la combinazione di accesso remoto, assenza di autenticazione richiesta e impatto critico sulla confidenzialità, integrità e disponibilità del sistema. Non emerge dalle fonti alcun exploit vector string esplicito nell'advisory testuale.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Flowise. Authentication is not required to exploit this vulnerability." — Advisory ZDI-26-634

Il fix radicale: perché rimuovere invece che patchare

La risposta del vendor non è stata una correzione localizzata. Il commit GitHub che documenta l'intervento recita: "fix(flowise-606): remove AirtableAgent and CSVAgent due to security vulnerabilities". L'operazione ha comportato la cancellazione di 1601 linee di codice, equivalente alla rimozione integrale dei due agenti dalla base di codice.

Questa scelta architetturale — eliminare un'intera funzionalità piuttosto che renderla sicura — è indicativa. Suggestisce che la superficie di attacco non fosse un errore implementativo circoscritto, ma intrinseca al modo in cui l'agente CSV interagiva con il modello linguistico: qualsiasi ingestione di contenuto strutturato esterno per costruzione dinamica di prompt espone a una trust boundary violation che le patch puntuali non possono risolvere senza compromettere la funzionalità stessa.

Il repository Flowise è stato archiviato il 13 agosto 2026. Le fonti non specificano se il commit di rimozione sia anteriore o successivo a questa data, né se l'archiviazione sia correlata alla gestione della vulnerabilità.

Timeline e coordinazione della disclosure

La vulnerabilità è stata segnalata al vendor il 23 aprile 2026. La pubblicazione coordinata dell'advisory è avvenuta il 9 settembre 2026: circa 140 giorni di intervallo, compatibile con i cicli standard di coordinated disclosure per vulnerabilità complesse che richiedono interventi strutturali.

Non emergono dalle fonti informazioni su eventuali exploit in-the-wild, né sull'identità del ricercatore che ha scoperto e segnalato la falla. Il CVE Record ufficiale conferma l'esistenza di CVE-2026-70477, ma non aggiunge dettagli tecnici oltre a quelli presenti nell'advisory ZDI.

Cosa fare adesso

Gli operatori che utilizzano Flowise in ambienti di produzione devono verificare se i componenti CSVAgent o AirtableAgent siano attivi nelle loro istanze. La rimozione del componente dal codice sorgente implica che aggiornamenti a versioni successive alla correzione esporranno automaticamente l'assenza della funzionalità; chi necessiti dell'elaborazione CSV tramite agente LLM dovrà valutare alternative architetturali o componenti personalizzati con controlli di input rafforzati.

Per le installazioni che non possono aggiornarsi immediatamente, la mitigazione passa attraverso la disabilitazione esplicita dei componenti interessati e la restrizione dell'accesso alle interfacce di upload CSV, sebbene le fonti non documentino configurazioni specifiche di hardening per questa vulnerabilità.

L'assenza del CVSS vector string nell'advisory testuale non permette di calcolare con precisione il profilo di rischio per scenari parziali; il punteggio 9.8 rimane comunque indicativo di priorità massima di remediation.

Domande frequenti

Quali versioni di Flowise sono affette?

Le fonti non specificano le versioni interessate. L'advisory ZDI e il CVE Record non elencano range di versioni affette o corrette. Gli utenti dovrebbero assumere che qualsiasi istanza con i componenti CSVAgent o AirtableAgent presenti sia potenzialmente esposta.

È necessario un aggiornamento di sicurezza specifico?

Il fix è stato realizzato attraverso la rimozione del codice vulnerabile dal repository, non tramite patch incrementale. Chi utilizza build personalizzate o fork del progetto deve integrare manualmente la rimozione dei componenti interessati.

Il repository archiviato significa che Flowise non è più mantenuto?

L'archiviazione del repository GitHub il 13 agosto 2026 indica che il proprietario ha reso il progetto in sola lettura. Le fonti non documentano piani di trasferimento della manutenzione né la relazione causale, se esistente, con la gestione della vulnerabilità.

La rimozione di un intero componente per risolvere una falla di sicurezza è un segnale che il settore delle piattaforme low-code per agenti AI non ha ancora stabilizzato i confini tra funzionalità e rischio. Quando l'unica correzione possibile è l'eliminazione della funzionalità, la domanda non è più tecnica: è architetturale, e investe la maturità del modello stesso di integrazione LLM-dati strutturati.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-634/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-70477
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://github.com/FlowiseAI/Flowise/commit/f4e2794f6a576b94578f2fdafbf49c2fb304626c
• https://www.trendmicro.com/