CVE-2026-73483
Fuga de sandbox Flowise NodeVM via allowlist do puppeteer - execução remota de código autenticada e leitura arbitrária de arquivos via Chromium
Traduzido automaticamente do inglês.
Flowise (pacotes flowise e flowise-components) nas versões <= 3.1.2 contém uma fuga de sandbox no sandbox JavaScript vm2/@flowiseai/nodevm. Um usuário autenticado com acesso ao endpoint /api/v1/node-custom-function pode escapar da sandbox fornecendo os parâmetros executablePath e args controlados pelo atacante para puppeteer.launch(), que internamente invoca child_process.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.4 (v4.0)
- EPSS
- 0,62% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- flowise (npm) <= 3.1.2, corrigido em 3.1.3 · GHSA-9gvv-qjj3-2p6g
- flowise-components (npm) <= 3.1.2, corrigido em 3.1.3 · GHSA-9gvv-qjj3-2p6g