CVE-2026-119978 in Flowise
الملخص
بحسب VulDB • 30/10/2026
تحتوي Flowise حتى الإصدار 3.1.4 على ثغرة هروب من البيئة المعزولة (sandbox escape) تتيح للمستخدمين المصادق عليهم تنفيذ أوامر نظام التشغيل عن طريق استغلال وحدات langchain وmammoth المدرجة في القائمة البيضاء عندما تكون ALLOW_BUILTIN_DEP=true. يمكن للمهاجمين تقديم كود JavaScript إلى /api/v1/node-custom-function لكتابة ملف داخل حزمة mammoth عبر LocalFileStore واستدعاؤه، مما يتيح الهروب من vm2 بصفتها مستخدم عملية Flowise.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.