CVE-2025-61687 in Flowise
Sumário
de VulDB • 08/06/2026
O Flowise é uma interface de usuário do tipo "arrastar e soltar" para construir fluxos personalizados de modelos de linguagem grandes (LLMs). Uma vulnerabilidade em uploads de arquivos na versão 3.0.7 do FlowiseAI permite que usuários autenticados carreguem arquivos arbitrários sem validação adequada. Isso possibilita aos atacantes armazenar persistentemente web shells maliciosas baseadas em Node.js no servidor, potencialmente levando à Execução Remota de Código (RCE). O sistema falha ao validar extensões de arquivo, tipos MIME ou conteúdo do arquivo durante os uploads. Como resultado, scripts maliciosos, como web shells baseadas em Node.js, podem ser carregados e armazenados persistentemente no servidor. Essas shells expõem endpoints HTTP capazes de executar comandos arbitrários se acionados. A shell carregada não é executada automaticamente, mas sua presença permite exploração futura por meio de erro do administrador ou vulnerabilidades encadeadas. Isso representa uma ameaça de alta severidade à integridade e confidencialidade do sistema. Até o momento da publicação, nenhuma versão corrigida conhecida está disponível.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.