CVE-2026-119978
Beschrijving NL
Flowise door 3.1.4 bevat een sandbox escape-kwetsbaarheid waarmee geverifieerde gebruikers OS-opdrachten kunnen uitvoeren door langchain- en mammoetmodules met toegestane lijst te misbruiken wanneer ALLOW_BUILTIN_dep=true. Aanvallers kunnen JavaScript indienen bij /api/v1/node-custom-functie die een bestand naar het mammoetpakket schrijft via LocalFileStore en dit vereist, waardoor vm2 ontsnapt als de Flowise-procesgebruiker.
Origineel (Engels) tonen
Flowise through 3.1.4 contains a sandbox escape vulnerability that allows authenticated users to execute OS commands by abusing allowlisted langchain and mammoth modules when ALLOW_BUILTIN_DEP=true. Attackers can submit JavaScript to /api/v1/node-custom-function that writes a file into the mammoth package via LocalFileStore and requires it, escaping vm2 as the Flowise process user.