Código de exploit publicado para falha crítica de RCE no Flowise

A CVE-2026-40933 não é um caso isolado de RCE no Flowise, é o terceiro bug crítico em menos de um ano, e o segundo em seis meses. Diferente da injeção JS arbitrária (CVSS 10.0) de setembro de 2025 ou da SSRF corrigida na mesma versão 3.1.0 que tenta consertar essa nova falha, a CVE-2026-40933 explora uma escolha arquitetônica deliberada: o suporte nativo ao transporte stdio no adaptador Custom MCP, projetado para integrar ferramentas locais via execução de processos filhos. O problema não está no parsing errado, mas na ausência total de sandboxing, o comando malicioso roda como root dentro do contêiner, sem restrições de namespace, capabilities ou seccomp. E o pior: o gatilho é passivo, basta importar um chatflow, sem executar, salvar ou confirmar nada.

O patch oficial (v3.1.0+) só adiciona uma lista branca de comandos permitidos e bloqueia argumentos perigosos como '&&', '|', '$()', mas não remove a execução. Pesquisadores da Obsidian já demonstraram bypasses com comandos como 'sh -c' seguidos de base64-encoded payloads, mostrando que a validação é facilmente contornada. Isso coloca o Flowise numa categoria rara: uma plataforma de IA cuja funcionalidade central, orquestrar agentes com execução local, é, por design, um vetor de ataque de alta severidade.

Em maio de 2025, o CEVIU já havia alertado sobre a CVE-2025-59528, uma falha de injeção JS com CVSS 10.0 que exigia interação ativa do usuário (como clicar num link malicioso). Agora, a CVE-2026-40933 elimina qualquer necessidade de engenharia social: a exploração é automática na importação. Também mudou o vetor, de injeção no lado cliente para execução remota no servidor, com privilégios elevados. Além disso, enquanto a correção anterior foi técnica e eficaz (remoção de eval), o patch atual é defensivo e frágil, reconhecido até pela equipe de segurança como insuficiente para eliminar o risco estrutural.

Flowise é usado por centenas de empresas brasileiras em ambientes de POC de IA, muitas delas conectadas a bancos de dados internos, APIs de RH e sistemas ERP. Um único chatflow comprometido pode levar à exfiltração de credenciais AWS armazenadas como variáveis de ambiente no contêiner, ou ao pivô para redes corporativas via conexões SSH configuradas no MCP. A falha também reforça um padrão perigoso em ferramentas de IA low-code: funcionalidades úteis (executar scripts locais, chamar CLI tools) são implementadas sem isolamento, transformando plataformas de desenvolvimento em superfícies de ataque expandidas. Para equipes de segurança, isso exige revisão imediata de políticas de importação de fluxos de trabalho e auditoria de todos os endpoints que aceitam conteúdo serializado de terceiros.