CVE-2026-73602
Publiée le 2026-08-13 · Dernière modification le 2026-10-24
Les installations de Flowise antérieures à la version 3.1.3 sont vulnérables à une évasion de bac à sable (sandbox escape) permettant à un utilisateur d'exécuter du code non autorisé sur le serveur hôte. Un attaquant disposant d'un compte valide peut contourner les contrôles de sécurité pour charger et exécuter des fichiers JavaScript malveillants stockés dans le magasin de documents du système. Cette exploitation peut être réalisée à distance via le réseau et ne nécessite qu'une authentification de bas niveau, sans aucune interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Flowise before 3.1.3 contains a sandbox escape vulnerability in the vm2 JavaScript sandbox that allows authenticated users to execute arbitrary code by exploiting moment locale validation bypass. Attackers can craft a fake String object with a match function that bypasses path traversal checks to load and execute malicious JavaScript files stored in the document store outside the sandbox.