PT-2026-92051

CVE-2026-91931

Publicado

2026-09-15

Atualizado

2026-09-16

Descrição por

CVSS 4.0

9.0

Crítica

MétricasAV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.4

Description Um problema no nó Custom MCP permite que atacantes autenticados alcancem a execução remota de código. Ao fornecer nomes de pacotes npx maliciosos através do parâmetro mcpServerConfig, um atacante pode forçar o servidor a invocar o npx com pacotes npm controlados pelo atacante, resultando na execução de código arbitrário no servidor.

Recommendations Atualizar para a versão 3.1.4.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Davidcarliez

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados