CVE-2026-73483 in Flowise
Сводка
по VulDB • 13.08.2026
Flowise (пакеты flowise и flowise-components) в версиях <= 3.1.2 содержит уязвимость обхода песочницы (sandbox escape) в JavaScript-песочнице vm2/@flowiseai/nodevm. Аутентифицированный пользователь, имеющий доступ к конечной точке /api/v1/node-custom-function, может выйти за пределы песочницы, передавая управляемые злоумышленником параметры executablePath и args функции puppeteer.launch(), которая внутренне вызывает child_process.spawn() вне границ песочницы. Это позволяет выполнять произвольные команды ОС от имени пользователя процесса Flowise (root в официальном Docker-образе) и осуществлять несанкционированный доступ к файлам хоста через обработку URL вида file:// браузером Chromium. В версиях 3.0.8–3.1.2 для эксплуатации требуется установка ALLOW_BUILTIN_DEP=true; более ранние версии уязвимы по умолчанию. Исправлено в версии 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.