CVE-2025-34267 in Flowise
Sumário
de VulDB • 08/06/2026
Flowise v3.0.1 < 3.0.8 e todas as versões posteriores com 'ALLOW_BUILTIN_DEP' habilitado contêm uma vulnerabilidade de execução remota de código (RCE) autenticada e escape da sandbox do node VM devido ao uso inseguro de módulos integrados (Puppeteer e Playwright) dentro do ambiente de execução nodevm. Um atacante autenticado capaz de criar ou executar uma ferramenta que utilize Puppeteer/Playwright pode especificar caminhos para binários de navegador controlados pelo atacante e parâmetros associados. Quando a ferramenta é executada, o executável/controlador pelos atacantes/parâmetros são executados no host e contornam as restrições da sandbox nodevm pretendidas, resultando na execução de código arbitrário no contexto do host. Esta vulnerabilidade foi incorretamente atribuída como duplicata do CVE-2025-26319 pelos desenvolvedores e deve ser considerada distinta desse identificador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.