CVE-2026-73602

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: 0.8%
CWE: CWE-95
KEV Durumu: Hayır

Yayım tarihi: 13 Ağustos 2026

Etkilenen: flowiseai flowise

Flowise 3.1.3 sürümünden önce, vm2 JavaScript kumandasında bir kumanda kaçış zafiyeti içerir ve bu, moment dil validation bypassını sömüren yetkili kullanıcıların keyfi kod çalıştırmasına olanak tanır. Saldırganlar, yol gezintisi kontrollerini atlatarak kumanda dışındaki belge deposunda depolanan kötü amaçlı JavaScript dosyalarını yüklemek ve çalıştırmak için eşleşen bir işlev ile sahte bir Dize nesnesi oluşturabilir.

Orijinal açıklama (İngilizce)

Flowise before 3.1.3 contains a sandbox escape vulnerability in the vm2 JavaScript sandbox that allows authenticated users to execute arbitrary code by exploiting moment locale validation bypass. Attackers can craft a fake String object with a match function that bypasses path traversal checks to load and execute malicious JavaScript files stored in the document store outside the sandbox.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.