CVE-2026-119978 in Flowise
요약
\~에 의해 VulDB • 2026. 10. 30.
Flowise 3.1.4 이전 버전에는 sandbox escape 취약점이 존재하며, ALLOW_BUILTIN_DEP=true일 때 allowlisted된 langchain 및 mammoth 모듈을 남용하여 인증된 사용자가 OS 명령어를 실행할 수 있습니다. 공격자는 /api/v1/node-custom-function에 JavaScript를 제출하여 LocalFileStore를 통해 mammoth 패키지에 파일을 작성하고 이를 require함으로써 Flowise 프로세스 사용자로 vm2에서 탈출합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.