zimshk/cve-2025-59528.yamlإثبات مفهوم قائم على YAML لثغرة CVE-2025-59528، يوضح تنفيذ التعليمات البرمجية عن بُعد في Flowise عبر التقييم غير الآمن لجافا سكريبت في عقدة CustomMCP.
Flowise هي واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق نموذج لغة كبير مخصص. في الإصدار 3.0.5، تكون Flowise عرضة لتنفيذ التعليمات البرمجية عن بُعد. تتيح عقدة CustomMCP للمستخدمين إدخال إعدادات التكوين للاتصال بخادم MCP خارجي. تقوم هذه العقدة بتحليل سلسلة mcpServerConfig التي يوفرها المستخدم لبناء تكوين خادم MCP. ومع ذلك، أثناء هذه العملية، تقوم بتنفيذ كود JavaScript دون أي تحقق أمني. على وجه التحديد، داخل دالة convertToValidJSONString، يتم تمرير إدخال المستخدم مباشرة إلى مُنشئ Function()، الذي يقوم بتقييم وتنفيذ الإدخال ككود JavaScript. نظرًا لأن هذا يعمل بصلاحيات كاملة لبيئة تشغيل Node.js، فإنه يمكنه الوصول إلى وحدات خطيرة مثل child_process و fs. تم إصلاح هذه المشكلة في الإصدار 3.0.6.
