Actores maliciosos están explotando activamente una vulnerabilidad de ejecución remota de código (RCE) de gravedad máxima en Flowise, una plataforma de código abierto utilizada para construir agentes de IA y flujos de trabajo personalizados con modelos de lenguaje grandes. La falla crítica, identificada como CVE-2025-59528 con una puntuación CVSS de 10.0, permite a los atacantes ejecutar código JavaScript arbitrario y lograr un compromiso total del sistema.

Los actores de amenazas están explotando activamente una vulnerabilidad de ejecución remota de código (RCE) de gravedad máxima en Flowise, una plataforma de código abierto utilizada para construir agentes de IA y flujos de trabajo personalizados con modelos de lenguaje grandes.

La falla crítica, identificada como CVE-2025-59528 con una puntuación CVSS de 10.0, permite a los atacantes ejecutar código JavaScript arbitrario y lograr un compromiso total del sistema.

La telemetría de inteligencia de amenazas indica que entre 12.000 y 15.000 instancias de Flowise están actualmente expuestas a internet, creando una enorme superficie de ataque para esta explotación.

La vulnerabilidad surge de una validación incorrecta de entradas dentro del nodo CustomMCP de Flowise, que procesa configuraciones para servidores externos de Protocolo de Contexto de Modelo (MCP).

En lugar de analizar los datos de forma segura, la función convertToValidJSONString de la aplicación pasa directamente la cadena mcpServerConfig proporcionada por el usuario a un constructor Function().

Este fallo de diseño trata la entrada como código JavaScript en el contexto global de Node.js, permitiendo la ejecución de cualquier carga maliciosa con privilegios completos de tiempo de ejecución.

Vulnerabilidad en el constructor de agentes de IA de Flowise

Explotar CVE-2025-59528 no requiere interacción del usuario y puede ejecutarse a través de la red enviando una solicitud HTTP POST manipulada al endpoint de la API de la aplicación.

Una vez que la carga útil llega al constructor vulnerable, accede a módulos principales de Node.js, como child_process, para ejecutar comandos del sistema operativo subyacente.

El impacto resultante es catastrófico, permitiendo a los atacantes lograr un control total del sistema, acceder al sistema de archivos y exfiltrar datos empresariales sensibles.

Una prueba de concepto publicada demuestra lo fácil que los atacantes pueden armar esta vulnerabilidad usando herramientas estándar de línea de comandos.

Al inyectar una carga útil que llama a módulos del sistema, un atacante puede forzar al servidor a ejecutar comandos remotos, como escribir archivos arbitrarios en el directorio temporal.

Como el exploit solo requiere acceso básico a la red y un token de API, representa un riesgo de seguridad extremo para las organizaciones que dependen de este marco de IA.

En abril de 2026, investigadores de seguridad de VulnCheck detectaron la primera explotación en la naturaleza de esta falla, con ataques iniciales provenientes de una única dirección IP de Starlink.

La vulnerabilidad ahora está ganando atención significativa en la comunidad de ciberseguridad debido al alto volumen de instancias expuestas y la naturaleza trivial del exploit.

Este incidente sigue a explotaciones activas previas de otras vulnerabilidades en Flowise, destacando un patrón creciente de ataques dirigidos contra infraestructuras de IA.

Las versiones de Flowise hasta la 3.0.5 son vulnerables a esta falla crítica de inyección de código, que fue corregida en la versión 3.0.6 en GitHub mediante una validación de seguridad adecuada de la configuración del servidor MCP.

Las organizaciones que alojan instancias de Flowise deben actualizar inmediatamente a la versión parcheada y restringir el acceso público a sus APIs de la aplicación.