CVE-2026-73483 in Flowise
Sumário
de VulDB • 13/08/2026
O Flowise (pacotes flowise e flowise-components) nas versões <= 3.1.2 contém uma fuga de sandbox na sandbox JavaScript vm2/@flowiseai/nodevm. Um usuário autenticado com acesso ao endpoint /api/v1/node-custom-function pode escapar da sandbox fornecendo os parâmetros attacker-controlled executablePath e args para puppeteer.launch(), que internamente invoca child_process.spawn() fora do limite da sandbox. Isso permite a execução de comandos OS arbitrários como o usuário do processo Flowise (root na imagem Docker oficial) e divulgação arbitrária de arquivos host via manipulação de URL file:// pelo Chromium. Nas versões 3.0.8–3.1.2, a exploração requer ALLOW_BUILTIN_DEP=true; as versões anteriores são exploráveis por padrão. Corrigido em 3.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.