CVE-2026-73483 in Flowise
Resumen
por VulDB • 2026-08-13
Flowise (paquetes flowise y flowise-components) en las versiones <= 3.1.2 presenta una fuga de sandbox (sandbox escape) en el entorno de ejecución JavaScript vm2/@flowiseai/nodevm. Un usuario autenticado con acceso al endpoint /api/v1/node-custom-function puede escapar del sandbox proporcionando los parámetros executablePath y args controlados por el atacante a puppeteer.launch(), lo que invoca internamente child_process.spawn() fuera de los límites del sandbox. Esto permite la ejecución de comandos arbitrarios del sistema operativo como el usuario del proceso Flowise (root en la imagen oficial de Docker) y la divulgación arbitraria de archivos locales mediante el manejo de URLs file:// por parte de Chromium. En las versiones 3.0.8–3.1.2, la explotación requiere ALLOW_BUILTIN_DEP=true; las versiones anteriores son explotables por defecto. Corregido en la versión 3.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.