CVE-2025-59528
Flowise tiene una vulnerabilidad de ejecución remota de código
- Publicado
- 22 sept 2025
- Actualizado
- 22 sept 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 31 oct 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,7 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo personalizado de modelo de lenguaje grande. En la versión 3.0.5, Flowise es vulnerable a la ejecución remota de código. El nodo CustomMCP permite a los usuarios introducir ajustes de configuración para conectarse a un servidor MCP externo. Este nodo analiza la cadena mcpServerConfig proporcionada por el usuario para construir la configuración del servidor MCP. Sin embargo, durante este proceso, ejecuta código JavaScript sin ninguna validación de seguridad. Específicamente, dentro de la función convertToValidJSONString, la entrada del usuario se pasa directamente al constructor Function(), que evalúa y ejecuta la entrada como código JavaScript. Dado que esto se ejecuta con privilegios completos del runtime de Node.js, puede acceder a módulos peligrosos como child_process y fs. Este problema ha sido corregido en la versión 3.0.6.
Fuentes
- Flowise JS Injection RCEMódulo
modules/exploits/multi/http/flowise_js_rce.rb
Metasploit Framework modulesCondiciones declaradas
- platform: Linux,Unix,Windows($.exploit_multi/http/flowise_js_rce.platform)
- verification: check_declared($.exploit_multi/http/flowise_js_rce.check)
- Flowise - Remote Code ExecutionPlantilla
http/cves/2025/CVE-2025-59528.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.