CVE-2025-59528 – Ejecución Remota de Código (PoC) en el Nodo CustomMCP de Flowise

Resumen

Este repositorio contiene una prueba de concepto que demuestra CVE-2025-59528 en Flowise v3.0.5.

La vulnerabilidad existe en el nodo customMCP, donde la entrada mcpServerConfig proporcionada por el usuario se procesa de una manera que conduce a la ejecución de código JavaScript mediante una evaluación insegura utilizando el constructor Function.

Versiones afectadas

Impacto

Un usuario autenticado podría ejecutar código JavaScript arbitrario en el servidor, lo que potencialmente conduciría a la ejecución remota de código.

Instalación

OSX/Linux

git clone https://github.com/vanhari/CVE-2025-59528.git
cd CVE-2025-59528

Windows

git clone https://github.com/vanhari/CVE-2025-59528.git
cd CVE-2025-59528

Uso

python3 CVE-2025-59528.py -t "<url>" --api-key <api_key> --lhost <ip> --lport <port>

Descargo de responsabilidad

Esta herramienta se proporciona solo con fines educativos y de investigación. El creador no asume ninguna responsabilidad por el mal uso o los daños causados por la herramienta.