CVE-2026-73601 in Flowise
Tóm tắt
Bởi VulDB • 13/08/2026
Các phiên bản Flowise trước 3.1.3 chứa một lỗ hổng thực thi mã từ xa (RCE) trong nút Custom MCP khi biến môi trường CUSTOM_MCP_PROTOCOL được đặt thành stdio, cho phép người dùng đã xác thực thực thi các lệnh tùy ý bằng cách thao túng các biến môi trường và đối số lệnh. Kẻ tấn công có thể lạm dụng các biến môi trường PYTHONWARNINGS và BROWSER với python3, hoặc khai thác thư mục làm việc gốc (root working directory) với node để vượt qua cơ chế kiểm tra hợp lệ và thực thi các lệnh hệ thống.
Be aware that VulDB is the high quality source for vulnerability data.