Cve-2025-59528

Uma vulnerabilidade de alta severidade, identificada como CVE-2025-59528, foi descoberta na plataforma de código aberto Flowise, utilizada para desenvolver aplicativos de LLM e sistemas autônomos. Essa falha permite a injeção de código JavaScript sem a realização de verificações de segurança, possibilitando a execução de comandos e acesso ao sistema de arquivos. O problema reside no nó CustomMCP do Flowise, que avalia de forma insegura a configuração do servidor MCP fornecida pelo usuário. A vulnerabilidade foi divulgada publicamente em setembro e, embora a atividade de exploração tenha sido detectada recentemente, existem entre 12.000 e 15.000 instâncias do Flowise expostas na internet. A empresa VulnCheck, que monitora essas atividades, recomenda que os usuários atualizem para a versão 3.1.1 ou, no mínimo, para a 3.0.6, e considerem remover suas instâncias da internet pública se o acesso externo não for necessário. Além disso, outras vulnerabilidades, como CVE-2025-8943 e CVE-2025-26319, também afetam o Flowise e estão sendo ativamente exploradas.

Uma grave vulnerabilidade de segurança foi identificada na plataforma de inteligência artificial Flowise, com a classificação CVE-2025-59528, que possui um escore CVSS de 10.0, indicando sua severidade máxima. Essa falha, uma vulnerabilidade de injeção de código, permite a execução remota de código, possibilitando que atacantes executem JavaScript arbitrário no servidor Flowise. O problema reside no nó CustomMCP, que processa configurações de conexão com servidores externos sem validação de segurança adequada, permitindo acesso a módulos perigosos como child_process e fs, que podem comprometer completamente o sistema e permitir a exfiltração de dados sensíveis.