Flowise jusqu’à la version 3.1.4 permet à un utilisateur authentifié d’échapper au bac à sable et d’exécuter des commandes système lorsque `ALLOW_BUILTIN_DEP=true`, en abusant de modules autorisés. La fiche NVD a été publiée dans la période, mais sa mise à jour signalée est postérieure à la borne de fin; aucune information de cette mise à jour ultérieure n’est retenue ici.
Source : NVD — CVE-2026-119978
Analyse technique
La vulnérabilité concerne l’exécution de JavaScript dans la fonction personnalisée et la possibilité de sortir du bac à sable pour exécuter du code avec les privilèges du processus Flowise.
Impact, versions et correctif
Action recommandée
Désactiver `ALLOW_BUILTIN_DEP` si cela est compatible avec l’exploitation du service et appliquer un correctif dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).