PT-2025-40908 · Flowise · Flowise

Im-Soohyun · Publicado 2025-10-06 · Atualizado 2025-10-17 · CVE-2025-61687

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Flowise versão 3.0.7

Descrição O Flowise, uma interface de usuário do tipo arrastar e soltar para a criação de fluxos personalizados de modelos de linguagem de grande porte, contém uma vulnerabilidade de upload de arquivos. Usuários autenticados podem fazer upload de arquivos arbitrários sem a devida validação, permitindo que atacantes armazenem persistentemente web shells maliciosos de Node.js no servidor. O sistema não valida extensões de arquivo, tipos MIME ou conteúdo do arquivo durante o upload. As shells carregadas expõem endpoints HTTP capazes de executar comandos arbitrários se acionados. A shell carregada não é executada automaticamente, mas sua presença permite exploração futura via erro do administrador ou vulnerabilidades encadeadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-61687

GHSA-35G6-RRW3-V6XC

Produtos afetados

Flowise

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/61xxx/CVE-2025-61687.json · Exploit
• https://github.com/FlowiseAI/Flowise · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/components/src/storageUtils.ts#L1104-L1111 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/server/src/utils/index.ts#L1950-L1954 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/components/src/storageUtils.ts#L533-L541 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/server/src/controllers/attachments/index.ts#L4-L11 · Nota
• https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-35g6-rrw3-v6xc · Aviso do Fabricante
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/server/src/utils/createAttachment.ts#L118-L126 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/components/src/storageUtils.ts#L170-L175 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/server/src/routes/attachments/index.ts#L8 · Nota
• https://github.com/FlowiseAI/Flowise/blob/d29db16bfcf9a4be8febc3d19d52263e8c3d0055/packages/server/src/services/attachments/index.ts#L7-L16 · Nota
• https://osv.dev/vulnerability/GHSA-35g6-rrw3-v6xc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-61687 · Nota de Segurança
• https://t.me/cveNotify/137526 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1o28ww8/resumen_diario_de_vulnerabilidades_09102025 · Publicação no Reddit