File-Upload-Schwachstelle in FlowiseAI 3.0.7 ermöglicht persistente Web-Shells

Beschreibung

Flowise ist eine Drag-and-drop-Oberfläche zum Bau angepasster LLM-Abläufe. In Version 3.0.7 erlaubt eine File-Upload-Schwachstelle authentifizierten Benutzern, beliebige Dateien ohne ausreichende Prüfung von Dateiendung, MIME-Typ oder Inhalt hochzuladen. Dadurch lassen sich Node.js-basierte Web-Shells persistent auf dem Server ablegen, was in Kombination mit weiteren Fehlern zu entfernter Codeausführung (Remote Code Execution) führen kann. Die Shell wird nicht automatisch ausgeführt, ihr Vorhandensein ermöglicht aber spätere Ausnutzung. CVSS-Basiswert: 8.3 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Flowise

• Flowise – Path Traversal im Document-Store-Loader erlaubt Schreiben beliebiger Dateien CVE-2025-71338
• Flowise – Remote Code Execution über den CustomMCP-Node CVE-2025-59528
• Flowise: Nicht authentifizierter Datei-Upload über /api/v1/attachments CVE-2025-71333
• Flowise vor 3.0.6: Unberechtigter Zugriff auf beliebige Dateien CVE-2025-71334
• Flowise: Nicht isolierte Remote Code Execution im Custom-MCP-Feature CVE-2025-71336
• Flowise – mehrfache OS-Command-Injection im Custom-MCP-Server CVE-2026-56274