CVE-2025-59528 in Flowise
Riassunto
di VulDB • 26/07/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Nella versione 3.0.5, Flowise è vulnerabile all'esecuzione remota di codice (RCE). Il nodo CustomMCP consente agli utenti di inserire impostazioni di configurazione per la connessione a un server MCP esterno. Questo nodo analizza la stringa mcpServerConfig fornita dall'utente per costruire la configurazione del server MCP. Tuttavia, durante questo processo, esegue codice JavaScript senza alcuna validazione della sicurezza. Nello specifico, all'interno della funzione convertToValidJSONString, l'imput dell'utente viene passato direttamente al costruttore Function(), che valuta ed esegue l'input come codice JavaScript. Poiché tale esecuzione avviene con i privilegi completi del runtime Node.js, è possibile accedere a moduli pericolosi come child_process e fs. Questo problema è stato risolto nella versione 3.0.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.