CVE-2026-73483 in Flowise
Zusammenfassung
von VulDB • 13.08.2026
Flowise (Packages flowise und flowise-components) in den Versionen <= 3.1.2 enthält eine Sandbox-Escape-Schwachstelle im JavaScript-Sandbox-Modul vm2/@flowiseai/nodevm. Ein authentifizierter Benutzer mit Zugriff auf den Endpunkt /api/v1/node-custom-function kann die Sandbox umgehen, indem er angreiferkontrollierte Parameter für executablePath und args an puppeteer.launch() übergibt, was intern child_process.spawn() außerhalb der Sandbox-Grenze aufruft. Dies ermöglicht die Ausführung beliebiger OS-Befehle als Benutzer des Flowise-Prozesses (root im offiziellen Docker-Image) sowie den willkürlichen Zugriff auf Host-Dateien über Chromiums Datei://-URL-Verarbeitung. In den Versionen 3.0.8–3.1.2 ist die Ausnutzung von ALLOW_BUILTIN_DEP=true erforderlich; frühere Versionen sind standardmäßig ausnutzbar. Behoben in Version 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.