PT-2026-71429

CVE-2026-73601

Publicado

2026-08-13

Atualizado

2026-10-23

Descrição por

CVSS 4.0

9.0

Crítica

MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Usuários autenticados podem realizar a execução remota de código no nó Custom MCP quando o CUSTOM MCP PROTOCOL está definido como stdio. Isso ocorre por meio da manipulação de argumentos de comando e variáveis de ambiente. Especificamente, atacantes podem explorar as variáveis de ambiente PYTHONWARNINGS e BROWSER ao usar python3, ou utilizar o diretório de trabalho raiz com node para ignorar a validação e executar comandos arbitrários no sistema.

Recommendations Atualize o Flowise para a versão 3.1.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code (\'Eval Injection\')

Identificadores relacionados

CVE-2026-73601