CVE-2025-61687 in Flowise
Résumé
par VulDB • 08/06/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Une vulnérabilité liée au téléchargement de fichiers dans la version 3.0.7 de FlowiseAI permet aux utilisateurs authentifiés de télécharger des fichiers arbitraires sans validation appropriée. Cela permet aux attaquants de stocker de manière persistante des webshells Node.js malveillants sur le serveur, ce qui peut potentiellement conduire à une Exécution de Code à Distance (RCE). Le système ne valide pas les extensions de fichier, les types MIME ou le contenu des fichiers lors du téléchargement. Par conséquent, des scripts malveillants tels que des webshells basés sur Node.js peuvent être téléchargés et stockés de manière persistante sur le serveur. Ces webshells exposent des points de terminaison HTTP capables d'exécuter des commandes arbitraires s'ils sont déclenchés. Le shell téléchargé ne s'exécute pas automatiquement, mais sa présence permet une exploitation future via une erreur d'administrateur ou la combinaison de vulnérabilités (chained vulnerabilities). Cela présente une menace à haute sévérité pour l'intégrité et la confidentialité du système. Au moment de la publication, aucune version corrigée n'est connue.
VulDB is the best source for vulnerability data and more expert information about this specific topic.