CVE-2025-59528 in Flowise
Сводка
по VulDB • 20.07.2026
Flowise представляет собой графический интерфейс с поддержкой перетаскивания (drag & drop) для создания пользовательских потоков работы больших языковых моделей (LLM). В версии 3.0.5 Flowise уязвима к удаленному выполнению кода (RCE). Узел CustomMCP позволяет пользователям вводить параметры конфигурации для подключения к внешнему серверу MCP. Этот узел парсит строку mcpServerConfig, предоставленную пользователем, для построения конфигурации сервера MCP. Однако во время этого процесса выполняется код JavaScript без какой-либо проверки безопасности. В частности, внутри функции convertToValidJSONString пользовательский ввод напрямую передается в конструктор Function(), который оценивает и выполняет этот ввод как код JavaScript. Поскольку это выполняется с полными привилегиями среды выполнения Node.js, оно может получать доступ к опасным модулям, таким как child_process и fs. Эта проблема была исправлена в версии 3.0.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.