CVE-2026-73602 in Flowise
要約
〜によって VulDB • 2026年08月13日
Flowise 3.1.3 より前のバージョンには、vm2 JavaScriptサンドボックスにおけるサンドボックスエスケープの脆弱性が存在します。これにより、認証済みユーザーは moment のロケール検証をバイパスすることで任意のコードを実行できます。攻撃者は、マッチ関数を持つ偽造された String オブジェクトを作成し、パストラバーサルのチェックを回避して、サンドボックス外のドキュメントストアに保存されている悪意のある JavaScript ファイルを読み込み・実行することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.