flowiseai

FlowiseAI: PoC pubblico per lo sfruttamento della CVE-2026-40933 Alert AL01/260601/CSIRT-ITA Sintesi Disponibile un Proof of Concept (PoC) per la CVE-2026-40933 – già sanata dal vendor – presente in Flowise, piattaforma open-source con interfaccia drag & drop per costruire flussi personalizzati basati su modelli linguistici di grandi dimensioni (LLM). Tale vulnerabilità riguarda il componente Custom MCP di Flowise che potrebbe consentire ad un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati. Tipologia Remote Code Execution Descrizione e potenziali impatti È stato recentemente reso pubblico un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2026-40933 – di tipo “Remote Code Execution” con score CVSS v3.x pari a 9.9 – che interessa il componente Custom MCP della piattaforma. La vulnerabilità interessa il parametro command e i relativi: a causa di meccanismi di controllo non adeguati, risulterebbe possibile l’esecuzione di comandi arbitrari sul sistema operativo, portando potenzialmente alla compromissione completa dei sistemi target. Prodotti e/o versioni affette Flowise Versioni precedenti alla 3.0.13 (compresa) Azioni di mitigazione Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.

FlowiseAI: PoC pubblico per lo sfruttamento della CVE-2025-61913 Alert AL05/251009/CSIRT-ITA Sintesi Disponibile un Proof of Concept (PoC) per la CVE-2025-61913 – già sanata dal vendor – presente in Flowise, piattaforma open-source con interfaccia drag & drop per costruire flussi personalizzati basati su modelli linguistici di grandi dimensioni (LLM). Tale vulnerabilità riguarda il componente WriteFileTool di Flowise che potrebbe consentire ad un utente malintenzionato autenticato remoto di creare file e di eseguire codice arbitrario sui sistemi target. Tipologia Arbitrary File Write Remote Code Execution Descrizione e potenziali impatti È stato recentemente reso pubblico un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2025-61913 – di tipo “Arbitrary File Write” con score CVSS v3.x pari a 10 – che interessa il componente WriteFileTool1 della piattaforma. La vulnerabilità interessa il parametro file_path per l’esportazione dell’output: a causa di meccanismi di controllo non adeguati, risulterebbe possibile la creazione di file all’esterno della directory di lavoro di Flowise, portando potenzialmente all’esecuzione remota di comandi sui sistemi target. Prodotti e/o versioni affette Flowise versioni precedenti alla 3.0.5 Azioni di mitigazione Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile. [1]WriteFileTool è un componente che permette la scrittura di file nel filesystem sul sistema in cui Flowise è in esecuzione.

FlowiseAI: PoC pubblico per lo sfruttamento della CVE-2025-58434 Alert AL06/250915/CSIRT-ITA Sintesi Disponibile un Proof of Concept (PoC) per la CVE-2025-58434 – già sanata dal vendor – presente in Flowise, piattaforma open-source con interfaccia drag & drop per costruire flussi personalizzati basati su modelli linguistici di grandi dimensioni (LLM). Tale vulnerabilità riguarda l’endpoint forgot-password di Flowise e potrebbe consentire ad un utente malevolo di eludere i meccanismi di autenticazione sui sistemi target. Tipologia Authentication Bypass Prodotti e/o versioni affette Flowise, versioni precedenti alla 3.0.6 Azioni di mitigazione Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.