CVE-2026-69254
KrytyczneCVSS 9.4Streszczenie
Flowise przed wersją 3.1.3 zawiera podatność w funkcji executeJavaScriptCode(), która akceptuje nodeVMOptions od wywołującego i scala je z domyślnymi ustawieniami bezpieczeństwa NodeVM. Uwierzytelniony atakujący może uruchomić niestandardową funkcję, która importuje utils.js, wywołuje executeJavaScriptCode() z opcjami umożliwiającymi dostęp do wszystkich wbudowanych modułów, a następnie używa child_process do wykonania dowolnych poleceń systemowych jako root na serwerze Flowise.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia na serwerze Flowise, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj Flowise do wersji 3.1.3 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, executeJavaScriptCode() accepted caller-provided nodeVMOptions and merged them over the default NodeVM security settings in packages/components/src/utils.ts. An authenticated attacker reaching packages/server/src/routes/node-custom-functions/index.ts could run a custom function that imported flowise-components/dist/src/utils.js, called executeJavaScriptCode() again with nodeVMOptions.require.builtin set to allow all built-in modules, and then required child_process to execute arbitrary system commands as root on the Flowise server. This issue is fixed in version 3.1.3.