CVE-2025-34267 in Flowise
الملخص
بحسب VulDB • 08/06/2026
تحتوي الإصدارات Flowise v3.0.1 < 3.0.8 وجميع الإصدارات الأحدث التي يكون فيها خيار 'ALLOW_BUILTIN_DEP' مفعّلاً على ثغرة تنفيذ عن بُعد للكود (RCE) تتطلب المصادقة، وثغرة هروب من بيئة العزل (sandbox escape) لوحدات العقدة (node VM sandbox)، وذلك بسبب الاستخدام غير الآمن للوحدات المتكاملة (مثل Puppeteer وPlaywright) داخل بيئة التنفيذ nodevm. يمكن لمهاجم قادر على إنشاء أو تشغيل أداة تستغل Puppeteer/Playwright بعد المصادقة، تحديد مسارات ثنائيات المتصفح ومعلمات يتحكم فيها المهاجم. عند تنفيذ الأداة، يتم تشغيل الثنائي/المعلمات التي يسيطر عليها المهاجم على الجهاز المستضيف وتتجاوز قيود العزل المقصودة لـ nodevm، مما يؤدي إلى تنفيذ كود تعسفي في سياق النظام المضيف. تم تعيين هذه الثغرة بشكل غير صحيح من قبل المطورين كنسخة مكررة للثغرة CVE-2025-26319، ويجب اعتبارها منفصلة عن ذلك المعرف.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.