CVE-2026-58057

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Um usuário autenticado pode executar código arbitrário no contexto do servidor ao configurar um nó Custom MCP. O problema ocorre porque as variáveis de ambiente são validadas contra uma denylist usando uma comparação sensível a maiúsculas e minúsculas. Em sistemas Windows, onde os nomes de ambiente não diferenciam maiúsculas de minúsculas, fornecer uma variável como node options ignora a entrada NODE OPTIONS da denylist, permitindo a injeção de NODE OPTIONS --require.

Recommendations Atualize para a versão 3.1.3 ou posterior.