Уязвимость в популярной платформе для создания ИИ-приложений Flowise перешла из разряда теоретических рисков в практическую угрозу. Специалисты зафиксировали первые атаки, в которых злоумышленники уже используют критическую ошибку для выполнения произвольного кода.
Речь идёт о проблеме с идентификатором CVE-2025-59528, получившей максимальную оценку по шкале CVSS. Уязвимость позволяет внедрять JavaScript-код без каких-либо проверок безопасности. При успешной атаке открывается доступ к выполнению команд и работе с файловой системой сервера.
Ошибка связана с компонентом CustomMCP в Flowise. Через него настраивается подключение к внешнему серверу по протоколу Model Context Protocol. При обработке пользовательского параметра mcpServerConfig система выполняет переданный JavaScript без проверки на безопасность, что и создаёт окно для атак.
Разработчики устранили проблему ещё в версии 3.0.6. На данный момент актуальной считается версия 3.1.1, выпущенная около двух недель назад. Несмотря на доступное исправление, значительное число установок остаётся уязвимым.
Flowise представляет собой open-source платформу с низким порогом входа для создания ИИ-агентов и сценариев на базе больших языковых моделей. Интерфейс с поддержкой drag-and-drop активно используют разработчики, компании с чат-ботами поддержки и пользователи без технического опыта.
О первых случаях эксплуатации сообщила специалист компании VulnCheck Кейтлин Кондон. По данным системы Canary, атаки начались недавно и пока ограничены активностью с одного IP-адреса, связанного со спутниковым интернетом Starlink. Однако масштаб потенциальной проблемы шире — в сети доступно от 12 до 15 тысяч экземпляров Flowise, хотя доля уязвимых среди них остаётся неизвестной.
Наблюдаемая активность дополняет уже зафиксированные атаки с использованием других уязвимостей Flowise — CVE-2025-8943 и CVE-2025-26319. VulnCheck распространяет сигнатуры и примеры эксплуатации только среди своих клиентов.
Пользователям Flowise рекомендуют срочно обновить систему до актуальной версии или хотя бы до 3.0.6. Если внешний доступ не требуется, безопаснее временно убрать сервис из публичного интернета.