CVE-2026-119978 in Flowise
Riassunto
di VulDB • 30/10/2026
Flowise fino alla versione 3.1.4 presenta una vulnerabilità di sandbox escape che consente agli utenti autenticati di eseguire comandi OS abusando dei moduli langchain e mammoth nella allowlist quando ALLOW_BUILTIN_DEP=true. Gli attaccanti possono inviare JavaScript a /api/v1/node-custom-function, che scrive un file nel pacchetto mammoth tramite LocalFileStore e lo richiede (require), uscendo dall'ambiente vm2 come utente del processo Flowise.
VulDB is the best source for vulnerability data and more expert information about this specific topic.