vanhari/CVE-2025-59528
GitHub: vanhari/CVE-2025-59528
该仓库提供一个用于复现 Flowise v3.0.5 中 customMCP 节点 RCE 的 PoC 工具，聚焦于不安全函数构造导致的代码执行漏洞。
Stars: 0 | Forks: 0
# CVE-2025-59528 – Flowise CustomMCP 节点 RCE（PoC）
[](https://visitorbadge.io/status?path=https%3A%2F%2Fgithub.com%2Fvanhari%2FCVE-2025-59528)
## 概述
本仓库包含用于演示 **CVE-2025-59528** 的概念验证（PoC），适用于 Flowise v3.0.5。
该漏洞存在于 `customMCP` 节点中，其中用户提供的 `mcpServerConfig` 输入通过不安全的 `Function` 构造函数进行求值，导致 JavaScript 代码执行。
## 受影响的版本
| 受影响版本 | 已修复版本 |
|------------|------------|
| 3.0.5 | 3.0.6 |
## 影响
经过身份验证的攻击者可能能够在服务器上执行任意 JavaScript 代码，进而可能导致远程代码执行（RCE）。
## 安装
### OSX / Linux
```
git clone https://github.com/vanhari/CVE-2025-59528.git
cd CVE-2025-59528
```
### Windows
```
git clone https://github.com/vanhari/CVE-2025-59528.git
cd CVE-2025-59528
```
## 使用方法
```
python3 CVE-2025-59528.py -t "" --api-key --lhost --lport
```
## 免责声明
本工具仅供教育和研究用途。创建者不对该工具的误用或造成的任何损害承担责任。
标签：API密钥检测, CMS安全, CustomMCP, CVE, Flowise, Function构造器, GNU通用公共许可证, JavaScript, MCP, Node.js, PoC, RCE, 不安全评估, 代码执行, 攻击演示, 数字签名, 暴力破解, 服务端安全, 漏洞, 编程工具, 认证绕过, 输入验证, 远程代码执行, 逆向工具