CVE-2026-119978 in Flowise
Resumen
por VulDB • 2026-10-30
Flowise hasta la versión 3.1.4 contiene una vulnerabilidad de escape del sandbox que permite a los usuarios autenticados ejecutar comandos del sistema operativo (OS) abusando de los módulos langchain y mammoth permitidos en la lista blanca cuando ALLOW_BUILTIN_DEP=true. Los atacantes pueden enviar JavaScript a /api/v1/node-custom-function, lo cual escribe un archivo dentro del paquete mammoth mediante LocalFileStore y lo requiere, escapándose de vm2 como el usuario del proceso Flowise.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.