CVE-2026-69254

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Descrição Existe uma falha de escape de sandbox na função executeJavaScriptCode() que permite que um invasor autenticado execute comandos arbitrários do sistema como root no servidor. O problema ocorre porque a função aceita nodeVMOptions fornecidos pelo chamador e os mescla com as configurações de segurança padrão usando o operador spread, permitindo a substituição de módulos restritos. Um invasor pode acessar o endpoint packages/server/src/routes/node-custom-functions/index.ts e fornecer uma função personalizada que reabilita módulos integrados ao definir nodeVMOptions.require.builtin para permitir todos os módulos. Isso possibilita o uso do módulo child process para executar comandos do sistema. Esta falha permite a execução remota de código completa, possibilitando que o invasor leia arquivos sensíveis, como chaves de criptografia e segredos de assinatura JWT.

Recomendações Atualize o Flowise para a versão 3.1.3 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint packages/server/src/routes/node-custom-functions/index.ts para minimizar o risco de exploração.