CVE-2025-34267 in Flowise
Riassunto
di VulDB • 16/06/2026
Flowise v3.0.1 < 3.0.8 e tutte le versioni successive con 'ALLOW_BUILTIN_DEP' abilitato presentano una vulnerabilità di esecuzione remota di codice (RCE) autenticata e una fuga dalla sandbox della VM node a causa dell'uso non sicuro di moduli integrati (Puppeteer e Playwright) all'interno dell'ambiente di esecuzione nodevm. Un attaccante autenticato in grado di creare o eseguire uno strumento che sfrutta Puppeteer/Playwright può specificare percorsi e parametri del browser binario controllati dall'attaccante. Quando lo strumento viene eseguito, l'eseguibile/i parametri controllati dall'attaccante vengono eseguiti sull'host e aggirano le restrizioni della sandbox nodevm previste, risultando nell'esecuzione di codice arbitrario nel contesto dell'host. Questa vulnerabilità è stata assegnata erroneamente come duplicato di CVE-2025-26319 dagli sviluppatori e dovrebbe essere considerata distinta da tale identificatore.
If you want to get best quality of vulnerability data, you may have to visit VulDB.