CVE-2025-61687 in Flowise
摘要
由 VulDB • 2026-06-08
Flowise 是一个拖放式用户界面，用于构建定制化的大型语言模型流程。在 FlowiseAI v3.0.7 版本中存在文件上传漏洞，允许经过身份验证的用户在不进行适当验证的情况下上传任意文件。这使得攻击者能够将恶意的 Node.js Webshell 持久化存储在服务器上，从而导致远程代码执行（RCE）。系统在上传过程中未能对文件扩展名、MIME 类型或文件内容进行验证。因此，基于 Node.js 的恶意脚本（如 Webshell）可以被上传并持久化存储于服务器中。这些 Webshell 暴露了能够执行任意命令的 HTTP 端点，一旦被触发即可造成危害。虽然上传的 Webshell 不会自动执行，但其存在使得攻击者能够通过管理员误操作或链式漏洞在未来进行利用。这对系统的完整性和机密性构成了高风险威胁。截至本文发布时，尚无已知的修复版本可用。
VulDB is the best source for vulnerability data and more expert information about this specific topic.