CVE-2026-69254— Flowise NodeVM 沙箱逃逸导致远程代码执行漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-69254 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Flowise: RCE via NodeVM Sandbox Escape in executeJavaScriptCode() nodeVMOptions Override
来源: CVE Program / CVE List V5
Vulnerability Description
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, executeJavaScriptCode() accepted caller-provided nodeVMOptions and merged them over the default NodeVM security settings in packages/components/src/utils.ts. An authenticated attacker reaching packages/server/src/routes/node-custom-functions/index.ts could run a custom function that imported flowise-components/dist/src/utils.js, called executeJavaScriptCode() again with nodeVMOptions.require.builtin set to allow all built-in modules, and then required child_process to execute arbitrary system commands as root on the Flowise server. This issue is fixed in version 3.1.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
来源: CVE Program / CVE List V5
Vulnerability Type
对生成代码的控制不恰当(代码注入)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-69254 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
Qwen3.6-35B-A3B · 6413 chars
Pro+ 专属包含：
漏洞复现靶场录像（真实沙箱构建 + 触发，独家）
漏洞原理深度分析
触发条件与影响面
完整可执行 POC 代码
利用链与缓解建议
POC 打包下载
每月 100+ 条 AI 生成额度
三、漏洞 CVE-2026-69254 的情报信息
请登录查看更多情报信息。
CVE-2026-69254 补丁与修复 (2)
CVE-2026-69254 厂商安全公告 (1)
CVE-2026-69254 厂商页面 (1)
- 🔗 Release flowise@3.1.3 · FlowiseAI/Flowise · GitHubx_refsource_MISC
同批安全公告 · FlowiseAI · 2026-08-04 · 共 22 条
| CVE-2026-70477 | 9.5 CRITICAL | Flowise CSV Agent提示注入远程代码执行漏洞 |
| CVE-2026-70470 | 9.5 CRITICAL | Flowise Pyodide验证器Unicode同形字绕过导致远程代码执行 |
| CVE-2026-69259 | 9.4 CRITICAL | Flowise SQLite记录管理器节点远程代码执行漏洞 |
| CVE-2026-69256 | 9.4 CRITICAL | Flowise CSVAgent 远程代码执行漏洞 |
| CVE-2026-69264 | 9.4 CRITICAL | Flowise CSVAgent CSV文件远程代码执行漏洞 |
| CVE-2026-70478 | 9.2 CRITICAL | Flowise OAuth2令牌刷新接口越权导致令牌泄露 |
| CVE-2026-69255 | 9.2 CRITICAL | Flowise CSV Agent 远程代码执行漏洞 |
| CVE-2026-69253 | 9.0 CRITICAL | Flowise 沙箱逃逸导致远程代码执行漏洞 |
| CVE-2026-69251 | 9.0 CRITICAL | Flowise 远程代码执行漏洞 |
| CVE-2026-69258 | 8.8 HIGH | Flowise 属性注入漏洞 |
| CVE-2026-69263 | 8.7 HIGH | Flowise CVE-2025-8943 npm_config_yes绕过MCP环境变量黑名单致未授权远程代码执行 |
| CVE-2026-69250 | 8.5 HIGH | Flowise 未授权OAuth2刷新导致非盲SSRF和秘密泄露 |
| CVE-2026-70473 | 8.3 HIGH | Flowise GET /api/v1/upsert-history 信息泄露漏洞 |
| CVE-2026-70476 | 8.3 HIGH | Flowise Stripe订阅端点越权导致跨租户计费篡改漏洞 |
| CVE-2026-69257 | 7.6 HIGH | Flowise SSRF防护绕过漏洞 |
| CVE-2026-70474 | 7.6 HIGH | Flowise 跨工作区 OAuth2 凭据元数据泄露漏洞 |
| CVE-2026-69252 | 7.2 HIGH | Flowise /api/v1/files 接口越权列举及删除文件漏洞 |
| CVE-2026-69262 | 7.1 HIGH | Flowise chatflows 删除接口未验证资源类型 |
| CVE-2026-70471 | 7.1 HIGH | Flowise 权限绕过导致未授权工作区变量泄露 |
| CVE-2026-70472 | 7.1 HIGH | Flowise openai助手向量存储跨工作区凭证IDOR漏洞 |
显示前 20 条，共 22 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-69254
暂无评论