Flowsint是一个用于网络情报(OSINT)图探索的开源工具，旨在用于网络安全调查、透明度和验证。在1.2.3版本之前，远程攻击者可以创建一个恶意类型的节点，从而逃逸现有的Cypher查询，并执行任意Cypher查询。此漏洞已在1.2.3版本中修复，建议尽快升级。
影响与攻击场景
此漏洞的潜在影响是严重的，因为它允许攻击者执行任意Cypher查询。攻击者可以利用此漏洞访问和修改Flowsint数据库中的敏感数据，例如网络情报图表、用户凭据和其他配置信息。攻击者还可以利用此漏洞执行其他恶意操作，例如拒绝服务攻击或远程代码执行。由于Flowsint通常用于处理敏感数据，因此此漏洞可能导致严重的后果。
利用背景
该漏洞已于2026年5月12日发布。目前没有已知的公开POC，也没有关于该漏洞正在被积极利用的报告。由于该漏洞允许执行任意Cypher查询，因此其潜在影响被认为是中等。建议密切关注该漏洞的动态，并采取适当的缓解措施。
受影响的软件
弱点分类 (CWE)
时间线
- 发布日期
缓解措施和替代方案
缓解此漏洞的最佳方法是升级到Flowsint 1.2.3或更高版本。如果无法立即升级，可以考虑以下缓解措施：限制对Flowsint的访问，只允许授权用户访问。实施严格的输入验证，以防止攻击者创建恶意节点。监控Flowsint的活动，以检测任何可疑行为。由于无法升级，建议在网络层面上限制对Flowsint服务的访问，并实施严格的访问控制策略。
修复方法翻译中…
Actualice Flowsint a la versión 1.2.3 o posterior para mitigar la vulnerabilidad de inyección de consultas Cypher. Esta actualización corrige el problema al validar correctamente los tipos de nodos durante la creación, evitando la ejecución de consultas Cypher maliciosas.
常见问题
CVE-2026-42156 是什么 — Flowsint 中的漏洞？
CVE-2026-42156是一个安全漏洞，影响Flowsint工具，允许攻击者执行任意Cypher查询，逃逸现有查询。
Flowsint 中的 CVE-2026-42156 是否会影响我？
如果您正在使用Flowsint版本1.0.0–<1.2.3，则您可能受到此漏洞的影响。
如何修复 Flowsint 中的 CVE-2026-42156？
升级到Flowsint 1.2.3或更高版本以修复此漏洞。
CVE-2026-42156 是否正在被积极利用？
目前没有已知的公开POC或关于该漏洞正在被积极利用的报告。
在哪里可以找到 Flowsint 关于 CVE-2026-42156 的官方安全通告？
请参考Flowsint官方文档和NVD数据库以获取更多信息：https://nvd.nist.gov/
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...