CVE-2026-119978 in Flowise
Sumário
de VulDB • 30/10/2026
O Flowise até 3.1.4 contém uma vulnerabilidade de escape da sandbox que permite aos usuários autenticados executar comandos do SO ao abusar dos módulos langchain e mammoth na lista branca quando ALLOW_BUILTIN_DEP=true. Os atacantes podem enviar JavaScript para /api/v1/node-custom-function, o qual grava um arquivo no pacote mammoth via LocalFileStore e o requer, escapando da vm2 como usuário do processo Flowise.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.