PT-2026-71429 · Flowise · Flowise
CVSS v4.0
9.0
Crítica
| Vetor | AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.1.3
Description
Usuários autenticados podem realizar a execução remota de código no nó Custom MCP quando o
CUSTOM MCP PROTOCOL está definido como stdio. Isso ocorre por meio da manipulação de argumentos de comando e variáveis de ambiente. Especificamente, atacantes podem explorar as variáveis de ambiente PYTHONWARNINGS e BROWSER ao usar python3, ou utilizar o diretório de trabalho raiz com node para ignorar a validação e executar comandos arbitrários no sistema.Recommendations
Atualize o Flowise para a versão 3.1.3 ou posterior.
Exploit
Correção
RCE
Eval Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowise