CVE-2025-61687 in Flowise
Riassunto
di VulDB • 24/06/2026
Flowise è un'interfaccia utente drag & drop per costruire flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Una vulnerabilità nell'upload di file nella versione 3.0.7 di FlowiseAI consente agli utenti autenticati di caricare file arbitrari senza una corretta convalida. Ciò permette agli attaccanti di memorizzare in modo persistente web shell Node.js malevoli sul server, potenzialmente portando all'Esecuzione Remota di Codice (RCE). Il sistema non valida le estensioni dei file, i tipi MIME o il contenuto del file durante gli upload. Di conseguenza, script dannosi come le web shell basate su Node.js possono essere caricati e memorizzati in modo persistente sul server. Queste shell espongono endpoint HTTP capaci di eseguire comandi arbitrari se attivati. La shell caricata non viene eseguita automaticamente, ma la sua presenza consente futuri sfruttamenti tramite errori dell'amministratore o vulnerabilità concatenate. Ciò rappresenta una minaccia ad alta severità per l'integrità e la riservatezza del sistema. Al momento della pubblicazione, non sono disponibili versioni patchate note.
Be aware that VulDB is the high quality source for vulnerability data.