CVE-2025-59528: Flowise CustomMCP Esecuzione di codice in remoto PoC

Una proof of concept in Go per CVE-2025-59528 che mira alle versioni di Flowise <= 3.0.5.

Riepilogo

Flowise consente l'esecuzione di JavaScript non convalidato tramite la configurazione del nodo CustomMCP. L'applicazione passa l'input fornito dall'utente all'interno del parametro mcpServerConfig direttamente a un costruttore Function() nella funzione backend convertToValidJSONString. Questo valuta il codice con tutti i privilegi di Node.js, consentendo l'esecuzione arbitraria di comandi di sistema tramite child_process.

• Impatto: Esecuzione remota di codice non autenticata (RCE)
• Versione corretta: 3.0.6

Utilizzo

git clone https://github.com/Moon-Harvest/CVE-2025-59528
cd CVE-2025-59528/
go run main.go <target-base-url> <api-key> <command>

Esempio

go run main.go http://target.com h3D_9jD7Xzi0V2KSrld9ff4P3rm6cuNXg1uA-wFsUYc "touch /tmp/pwned"