CVE-2025-59528
Flowise presenta una vulnerabilità di esecuzione di codice remoto
- Pubblicato
- 22 set 2025
- Aggiornato
- 22 set 2025
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 31 ott 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,7%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Flowise è un'interfaccia utente drag & drop per creare un flusso personalizzato di modelli linguistici di grandi dimensioni. Nella versione 3.0.5, Flowise è vulnerabile all'esecuzione remota di codice. Il nodo CustomMCP consente agli utenti di inserire impostazioni di configurazione per la connessione a un server MCP esterno. Questo nodo analizza la stringa mcpServerConfig fornita dall'utente per costruire la configurazione del server MCP. Tuttavia, durante questo processo, esegue codice JavaScript senza alcuna validazione di sicurezza. Nello specifico, all'interno della funzione convertToValidJSONString, l'input dell'utente viene passato direttamente al costruttore Function(), che valuta ed esegue l'input come codice JavaScript. Poiché questo viene eseguito con pieni privilegi del runtime Node.js, può accedere a moduli pericolosi come child_process e fs. Questo problema è stato corretto nella versione 3.0.6.
Fonti
- Flowise JS Injection RCEModulo
modules/exploits/multi/http/flowise_js_rce.rb
Metasploit Framework modulesCondizioni dichiarate
- platform: Linux,Unix,Windows($.exploit_multi/http/flowise_js_rce.platform)
- verification: check_declared($.exploit_multi/http/flowise_js_rce.check)
http/cves/2025/CVE-2025-59528.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.