Die Schwachstelle betrifft Flowise, eine Plattform zum Erstellen von KI-Anwendungen auf Basis sogenannter Chainflows. Über die Option „overrideConfig“ lässt sich während der Ausführung Konfiguration in einen Chainflow einschleusen. Die Option wird sowohl von der Web-Einbindung im Frontend als auch von der Prediction-API im Backend unterstützt. Sie ist standardmäßig aktiviert, und es gibt keine Allow-List, die festlegt, welche Variablen überschrieben werden dürfen. Zur Abschottung setzt Flowise auf die Sandbox-Bibliothek vm2. Ein Angreifer kann die Funktion missbrauchen, um aus der Sandbox auszubrechen und aus der Ferne Code auf dem Server auszuführen. Außerdem kann er den Server zum Absturz bringen (Denial of Service), serverseitige Anfragen an andere Ziele auslösen (Server-Side Request Forgery), Prompt-Injection betreiben sowie Servervariablen und Daten abgreifen. Die Manipulationen wirken nur auf die eigene Sitzung des Angreifers und bleiben nicht für andere Benutzer bestehen.