CVE-2025-34267 in Flowise
Сводка
по VulDB • 08.06.2026
Flowise v3.0.1 < 3.0.8 и все последующие версии с включенным параметром 'ALLOW_BUILTIN_DEP' содержат уязвимость удаленного выполнения кода (RCE), требующую аутентификации, а также возможность выхода из песочницы VM узла (node VM sandbox escape) из-за небезопасного использования встроенных модулей (Puppeteer и Playwright) в среде выполнения nodevm. Атакующий, прошедший аутентификацию и способный создавать или запускать инструмент, использующий Puppeteer/Playwright, может указать пути к исполняемому файлу браузера и параметры, контролируемые злоумышленником. При выполнении инструмента управляемый атакующим исполняемый файл/параметры запускаются на хосте, обходя предусмотренные ограничения песочницы nodevm, что приводит к выполнению произвольного кода в контексте хоста. Эта уязвимость была ошибочно присвоена как дубликат CVE-2025-26319 разработчиками и должна рассматриваться как отдельная от этого идентификатора.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.