Moon-Harvest/CVE-2025-59528
GitHub: Moon-Harvest/CVE-2025-59528
该项目是针对 Flowise CustomMCP 远程代码执行漏洞（CVE-2025-59528）的 Go 语言 PoC，用于验证未授权 RCE 漏洞的可利用性。
Stars: 0 | Forks: 0
# CVE-2025-59528：Flowise CustomMCP 远程代码执行 PoC
一个针对 **CVE-2025-59528** 的 Go 概念验证，目标为 Flowise <= 3.0.5 版本。
## 摘要
Flowise 允许通过 `CustomMCP` 节点配置执行未经校验的 JavaScript 代码。应用程序在后端 `convertToValidJSONString` 函数中，将 `mcpServerConfig` 参数里的用户输入直接传递给 `Function()` 构造函数。这会以完整的 Node.js 权限执行代码，从而允许通过 `child_process` 执行任意系统命令。
* **影响：** 未授权远程代码执行 (RCE)
* **修复版本：** 3.0.6
## 用法
```
git clone https://github.com/Moon-Harvest/CVE-2025-59528
cd CVE-2025-59528/
go run main.go
```
## 示例
```
go run main.go http://target.com h3D_9jD7Xzi0V2KSrld9ff4P3rm6cuNXg1uA-wFsUYc "touch /tmp/pwned"
```
标签：EVTX分析, Go语言, Go语言工具, MITM代理, PoC, 安全漏洞, 日志审计, 暴力破解, 程序破解, 编程工具, 远程代码执行