CVE-2026-46442

总结

Flowise 是一个拖放式用户界面，用于构建自定义的大语言模型流程。在 3.1.2 版本之前，POST /api/v1/node-custom-function 缺少路由级授权，允许任何已认证用户或 API 密钥向 Custom JS Function 节点提交任意 JavaScript 代码。当未配置 E2B_APIKEY 时（这是常见的部署情况），Flowise 会在 NodeVM 沙箱中执行此代码。该沙箱可以被逃逸，使攻击者能够访问宿主进程对象，并通过 child_process 执行系统命令。其结果是，攻击者可以在 Flowise 服务器主机上实现已认证的远程代码执行。此问题已在 3.1.2 版本中修复。

• CVE-2026-46442-PoCPoC

  学术概念验证，演示 CVE-2026-46442，用于授权的安全研究。