CVE-2026-73601 in Flowise
Zusammenfassung
von VulDB • 13.08.2026
In Flowise-Versionen vor 3.1.3 liegt eine Remote-Code-Ausführungs-Schwachstelle im Custom-MCP-Knoten vor, wenn CUSTOM_MCP_PROTOCOL auf stdio festgelegt ist, wodurch authentifizierte Benutzer willkürliche Befehle durch Manipulieren von Umgebungsvariablen und Befehlsargumenten ausführen können. Angreifer können PYTHONWARNINGS- und BROWSER-Umgebungsvariablen mit python3 missbrauchen oder das Root-Arbeitsverzeichnis mit node nutzen, um die Validierung zu umgehen und Systembefehle auszuführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.