PT-2026-133730
CVE-2026-119978
·
Publicado
2026-10-07
·
Atualizado
2026-10-30
Descrição por
CVSS 4.0
9.0
CríticaMétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.1.5
Descrição
Usuários autenticados podem executar comandos do sistema operacional ao escapar do sandbox de funções personalizadas. Isso ocorre quando a variável
ALLOW BUILTIN DEP está definida como true, permitindo o abuso dos módulos langchain e mammoth permitidos. Um invasor pode enviar JavaScript para o endpoint '/api/v1/node-custom-function' para gravar um arquivo no pacote mammoth via LocalFileStore e requisitá-lo, escapando do sandbox vm2 como o usuário do processo Flowise.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾