FlowiseAI Flowise: Sandbox-Ausbruch zu Remote Code Execution über LocalFileStore

Zusammenfassung

Flowise bis Version 3.1.4 enthält einen Sandbox-Ausbruch in der Funktion für benutzerdefinierte Funktionen. Ein authentifizierter Benutzer kann über die API node-custom-function JavaScript übermitteln, das eine Datei in das Paket mammoth schreibt und einbindet; dadurch wird die vm2-Sandbox umgangen und Betriebssystembefehle werden als Prozessbenutzer von Flowise ausgeführt. Der Angriff setzt voraus, dass die Einstellung ALLOW_BUILTIN_DEP auf true gesetzt ist.

Betroffen

• Flowise 0 bis 3.1.4 (gemäss CNA-Eintrag von VulnCheck)
• Ausnutzung erfordert ALLOW_BUILTIN_DEP=true

Behoben in

Unbekannt. Die korrigierte Version wurde vom Hersteller nicht bestätigt. Auf die Korrektur für die verwandte Schwachstelle CVE-2026-73483 (GHSA-9gvv-qjj3-2p6g) sollte nicht vertraut werden, da es sich um eine andere Schwachstelle mit korrigierter Version 3.1.3 handelt.

Umgehung

• ALLOW_BUILTIN_DEP auf false setzen oder nicht gesetzt lassen, sofern der Anwendungsfall dies zulässt
• Zugriff auf den Endpunkt /api/v1/node-custom-function am Reverse Proxy einschränken
• Den Flowise-Container oder -Prozess als Nicht-Root-Benutzer betreiben

Ausnutzung

• Gemäss OffSeq nicht als aktiv ausgenutzt bekannt; widersprüchliche Honeypot-Meldungen existieren, daher ist eine Ausnutzung nicht bestätigt
• Kein öffentlicher Proof of Concept für diese CVE bekannt
• Der Angriff erfordert einen gültigen Benutzerzugang (PR:L)

Unsere Empfehlung

• Alle Flowise-Instanzen und deren Versionen inventarisieren
• Prüfen, ob ALLOW_BUILTIN_DEP aktiviert ist, und diese Einstellung nach Möglichkeit deaktivieren
• Flowise-Konten einschränken und Selbstregistrierung deaktivieren; Instanzen nicht öffentlich aus dem Internet erreichbar machen
• Flowise als Nicht-Root-Benutzer betreiben und die darin gespeicherten Geheimnisse (API-Schlüssel, LLM-Zugangsdaten) begrenzen
• Auf die neueste Flowise-Version aktualisieren, sobald der Hersteller eine korrigierte Version bestätigt
• Die GitHub-Sicherheitshinweise von Flowise auf Updates überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Flowise GitHub repository github.com
• VulnCheck advisory www.vulncheck.com
• GitHub Advisory GHSA-9gvv-qjj3-2p6g (related CVE) github.com
• Flowise utils.ts at vulnerable commit github.com
• VulDB entry vuldb.com
• OffSeq radar entry radar.offseq.com
• The Hacker News: Flowise AI agent builder under active attack thehackernews.com
• OSV GHSA-9gvv-qjj3-2p6g osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:57.