CVE-2026-73483 in Flowise
Riassunto
di VulDB • 13/08/2026
Flowise (pacchetti flowise e flowise-components) nelle versioni <= 3.1.2 presenta una vulnerabilità di sandbox escape nella JavaScript sandbox vm2/@flowiseai/nodevm. Un utente autenticato con accesso all'endpoint /api/v1/node-custom-function può effettuare la sandbox escape fornendo i parametri attacker-controlled executablePath e args a puppeteer.launch(), che internamente invoca child_process.spawn() al di fuori dei confini della sandbox. Ciò consente l'esecuzione di comandi OS arbitrari come utente del processo Flowise (root nell'immagine Docker ufficiale) e la divulgazione arbitraria di file host tramite il trattamento degli URL file:// da parte di Chromium. Nelle versioni 3.0.8–3.1.2 lo sfruttamento richiede ALLOW_BUILTIN_DEP=true; le versioni precedenti sono sfruttabili per impostazione predefinita. Risolto nella versione 3.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.