CVE-2025-59528
Flowise apresenta vulnerabilidade de Execução Remota de Código
- Publicado
- 22 de set. de 2025
- Atualizado
- 22 de set. de 2025
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 31 de out. de 2025
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · próximos 30 dias
- Percentil
- 99,7%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Flowise é uma interface de usuário do tipo arrastar e soltar para criar um fluxo personalizado de modelo de linguagem de grande porte. Na versão 3.0.5, o Flowise é vulnerável à execução remota de código. O nó CustomMCP permite que os usuários insiram configurações para se conectar a um servidor MCP externo. Esse nó analisa a string mcpServerConfig fornecida pelo usuário para montar a configuração do servidor MCP. No entanto, durante esse processo, ele executa código JavaScript sem nenhuma validação de segurança. Especificamente, dentro da função convertToValidJSONString, a entrada do usuário é passada diretamente para o construtor Function(), que avalia e executa a entrada como código JavaScript. Como isso é executado com privilégios totais do runtime Node.js, pode acessar módulos perigosos como child_process e fs. Esse problema foi corrigido na versão 3.0.6.
Fontes
- Flowise JS Injection RCEMódulo
modules/exploits/multi/http/flowise_js_rce.rb
Metasploit Framework modulesCondições declaradas
- platform: Linux,Unix,Windows($.exploit_multi/http/flowise_js_rce.platform)
- verification: check_declared($.exploit_multi/http/flowise_js_rce.check)
http/cves/2025/CVE-2025-59528.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
FlowiseAI CVE-2025-58434 & CVE-2025-59528 exploit PoC, demonstrando ATO não autenticado via vazamento de token de redefinição, seguido por RCE autenticado. Inclui um ambiente de laboratório Docker reproduzível.
- CVE-2025-58434-59528Exploit
CVE-2025-58434 e CVE-2025-59528 — PoC de encadeamento
- FlowiseAI-Critical-KillChainExploit
Cadeia de ataque crítica não autenticada levando a RCE completo no FlowiseAI (CVE-2025-58434 + CVE-2025-59528)
CVE-2025-59528 Prova de Conceito
- CVE-2025-59528Exploit
Exploit de Prova de Conceito (PoC) em Go para Execução Remota de Código (RCE) no Flowise CustomMCP CVE-2025-59528
Prova de conceito para CVE-2025-59528, demonstrando execução remota de código autenticada no Flowise via injeção em mcpServerConfig, com etapas reproduzíveis para testes autorizados.
- CVE-2025-59528-POCExploit
CVE-2025-59528 - FlowiseAI CustomMCP Execução Remota de Código
- CVE-2025-58434-AND-59528-POCExploit
PoC modular para CVE-2025-58434 (tomada de conta) e CVE-2025-59528 (RCE) no Flowise. Automatiza toda a cadeia de ataque, desde o vazamento de token não autenticado até a execução remota de código via reverse shell ou comando personalizado.
PoC de exploit em Python para CVE-2025-59528, alcançando RCE autenticado no Flowise AI <= 3.0.4 através do endpoint customMCP e do child_process.execSync do Node.js.
PoC de RCE autenticado para Flowise versão <= 3.0.5 via CustomMCP Node (CVE-2025-59528)
PoC para CVE-2025-59528 usado para obter execução remota de código na máquina Silentium no HTB
- -CVE-2025-59528-PoCExploit
Um simples script em Python para explorar o CVE-2025-59528, uma vulnerabilidade de RCE autenticada na aplicação Flowise, uma ferramenta de IA popular. Também é usada no desafio sazonal da HTB. O problema está presente na versão <= 3.0.5, para mais detalhes: https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-3gcm-f6qx-ff7p
CVE-2025-59528 Prova de Conceito
Prova de conceito de exploit e regras de detecção YARA para CVE-2025-59528, uma vulnerabilidade de execução remota de código no Flowise, destinada a testes de segurança autorizados e pesquisa.
CVE-2025-58434 Flowise <= 3.0.5 e anteriores permite tomada de conta via token de redefinição de senha não autenticado. CVE-2025-59528 lowiseAI Custom MCP Node Remote Code Execution.
- Flowise-RCEExploit
CVE-2025-58434 & CVE-2025-59528
O PoC do CVE-2025-59528
- HTB-Silentium-WriteupPesquisa
Hack The Box - Writeup da máquina Silentium | CVE-2025-58434, CVE-2025-59528, CVE-2025-8110
YAML-based proof-of-concept para CVE-2025-59528, demonstrando execução remota de código no Flowise via avaliação insegura de JavaScript no nó CustomMCP.
- CVE-2025-58434-59528-htb-ctfExploit
Exploração Silentium HTB-CTF
nltt0 · multiple · 31 de out. de 2025
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.