CVE-2026-46442
फ्लोवाइज़: POST /api/v1/node-custom-function और NodeVM सैंडबॉक्स एस्केप के माध्यम से प्रमाणित होस्ट RCE
- प्रकाशित
- 8 जून 2026
- अद्यतन
- 9 जून 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 17 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 88.7%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Flowise एक ड्रैग एंड ड्रॉप यूज़र इंटरफ़ेस है जो कस्टमाइज़्ड लार्ज लैंग्वेज मॉडल फ्लो बनाने के लिए उपयोग किया जाता है। संस्करण 3.1.2 से पहले, POST /api/v1/node-custom-function में रूट-स्तरीय प्राधिकरण का अभाव है, जिससे कोई भी प्रमाणित उपयोगकर्ता या API कुंजी कस्टम JS फ़ंक्शन नोड में मनमाना JavaScript सबमिट कर सकता है। जब E2B_APIKEY कॉन्फ़िगर नहीं किया गया हो — जो सामान्य डिप्लॉयमेंट मामला है — Flowise इस कोड को NodeVM सैंडबॉक्स के अंदर निष्पादित करता है। इस सैंडबॉक्स से बचा जा सकता है, जिससे हमलावर होस्ट प्रोसेस ऑब्जेक्ट तक पहुंच सकता है और child_process के माध्यम से सिस्टम कमांड निष्पादित कर सकता है। इसका परिणाम Flowise सर्वर होस्ट पर प्रमाणित रिमोट कोड निष्पादन है। यह समस्या संस्करण 3.1.2 में पैच की गई है।
स्रोत
http/cves/2026/CVE-2026-46442.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
अधिकृत सुरक्षा अनुसंधान के लिए CVE-2026-46442 को प्रदर्शित करने वाला शैक्षणिक प्रूफ-ऑफ-कॉन्सेप्ट।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।