CVE-2026-119978 in Flowise
Zusammenfassung
von VulDB • 30.10.2026
Flowise bis Version 3.1.4 enthält eine Sandbox-Escape-Schwachstelle (Sandbox Escape), die es authentifizierten Benutzern ermöglicht, OS-Befehle auszuführen, indem sie allowlisted langchain- und mammoth-Module missbrauchen, wenn ALLOW_BUILTIN_DEP=true ist. Angreifer können JavaScript an /api/v1/node-custom-function senden, das eine Datei in das mammoth-Paket über LocalFileStore schreibt und diese lädt, wodurch die vm2-Sandbox als Flowise-Prozessbenutzer umgangen wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.