PT-2025-33143 · Unknown · Flowise Js

Assaf Levkovich · Publicado 2025-08-14 · Atualizado 2025-10-08 · CVE-2025-55346

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Flowise JS (versões afetadas não especificadas)

Descrição: Entrada controlada pelo usuário flui para uma implementação insegura de um construtor de Função dinâmico, permitindo que atacantes de rede executem código JS arbitrário sem sandbox no contexto do host ao enviar uma simples requisição POST. A vulnerabilidade permite a execução remota de código.

Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Code Injection

Eval Injection

Enumeração de Fraquezas

CWE-94

CWE-627

CWE-95

Identificadores relacionados

CVE-2025-55346

GHSA-HMGH-466J-FX4C

GHSA-Q4XX-MC3Q-23X8

Produtos afetados

Flowise Js

Referências · 14

• 🔥 https://research.jfrog.com/vulnerabilities/flowise-js-injection-remote-code-exection-jfsa-2025-001379925 · Exploit
• https://github.com/FlowiseAI/Flowise · Nota
• https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-hmgh-466j-fx4c · Nota
• https://reddit.com/r/VulnMatter/comments/1o120p5/resumen_diario_de_vulnerabilidades_08102025 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1o1aw7v/resumen_diario_de_vulnerabilidades_08102025 · Publicação no Reddit
• https://twitter.com/VulmonFeeds/status/1955956659903250822 · Publicação no Twitter
• https://twitter.com/Cloudforce_One/status/1957635819788812635 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1mw6q8u/top_10_trending_cves_21082025 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-55346 · Nota de Segurança
• https://reddit.com/r/CVEWatch/comments/1mvald9/top_10_trending_cves_20082025 · Publicação no Reddit
• https://twitter.com/CVEnew/status/1955931279104598294 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-q4xx-mc3q-23x8 · Aviso do Fabricante
• https://t.me/cveNotify/132220 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hmgh-466j-fx4c · Aviso do Fabricante