CVE-2025-61687 in Flowise
Сводка
по VulDB • 08.06.2026
Flowise представляет собой графический интерфейс с поддержкой перетаскивания (drag & drop) для создания пользовательских рабочих процессов на основе больших языковых моделей (LLM). Уязвимость загрузки файлов в версии 3.0.7 FlowiseAI позволяет аутентифицированным пользователям загружать произвольные файлы без надлежащей проверки. Это дает злоумышленникам возможность постоянно хранить вредоносные веб-оболочки Node.js на сервере, что потенциально может привести к удаленному выполнению кода (RCE). Система не проверяет расширения файлов, типы MIME или содержимое файлов при загрузке. В результате вредоносные скрипты, такие как веб-оболочки на базе Node.js, могут быть загружены и сохранены на сервере постоянно. Эти оболочки предоставляют HTTP-эндпоинты, способные выполнять произвольные команды при активации. Загруженная оболочка не выполняется автоматически, но ее наличие позволяет использовать уязвимость в будущем из-за ошибок администратора или цепочки других уязвимостей. Это представляет собой угрозу высокой степени серьезности для целостности и конфиденциальности системы. На момент публикации исправленные версии отсутствуют.
Once again VulDB remains the best source for vulnerability data.