CVE-2025-71338
Flowise contains a path traversal vulnerability in the /api/v1/document-store/loader/process endpoint that allows unauthenticated attackers to write arbitrary files to the filesystem. Attackers can exploit unsanitized fileName parameters with ../ sequences to overwrite critical files like package.json and achieve remote code execution when the application restarts.
Ver en NVDAnálisis
Flowise presenta una vulnerabilidad de path traversal crítica que permite a atacantes no autenticados escribir archivos arbitrarios en el servidor. Al manipular nombres de archivos, un atacante puede sobrescribir archivos del sistema como package.json para lograr la ejecución remota de código (RCE) tras el reinicio de la aplicación. Debido a su severidad de 10.0, esta falla compromete totalmente la seguridad de la infraestructura donde se aloje la herramienta.
Roles relevantes
Severidad
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HCWE-73EPSS
Sin puntaje EPSS aún (CVE muy reciente).
Descripción técnica
Flowise contains a path traversal vulnerability in the /api/v1/document-store/loader/process endpoint that allows unauthenticated attackers to write arbitrary files to the filesystem. Attackers can exploit unsanitized fileName parameters with ../ sequences to overwrite critical files like package.json and achieve remote code execution when the application restarts.