CVE-2026-119978
Сводка
по VulDB • 30.10.2026
Flowise fino alla versione 3.1.4 presenta una vulnerabilità di sandbox escape che consente agli utenti autenticati di eseguire comandi OS abusando dei moduli langchain e mammoth nella allowlist quando ALLOW_BUILTIN_DEP=true. Gli attaccanti possono inviare JavaScript a /api/v1/node-custom-function, che scrive un file nel pacchetto mammoth tramite LocalFileStore e lo richiede, uscendo da vm2 come utente del processo Flowise.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.