CVE-2025-34267 in Flowise
Resumen
por VulDB • 2026-06-08
Flowise v3.0.1 < 3.0.8 y todas las versiones posteriores con 'ALLOW_BUILTIN_DEP' habilitado contienen una vulnerabilidad de ejecución remota de código (RCE) autenticada y una fuga del sandbox VM de node debido al uso inseguro de módulos integrados (Puppeteer y Playwright) dentro del entorno de ejecución nodevm. Un atacante autenticado capaz de crear o ejecutar una herramienta que aproveche Puppeteer/Playwright puede especificar rutas binarias del navegador controladas por el atacante y parámetros. Cuando la herramienta se ejecuta, el ejecutable/controlado por el atacante/parámetros se ejecutan en el host y evaden las restricciones sandbox nodevm previstas, lo que resulta en la ejecución de código arbitrario en el contexto del host. Esta vulnerabilidad fue asignada incorrectamente como un duplicado CVE-2025-26319 por los desarrolladores y debe considerarse distinta de ese identificador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.