Flowise 3.1.4 まで、カスタム関数のサンドボックスを抜けて OS コマンドを実行できる（CVE-2026-119978）: 修正版なし、リポジトリはアーカイブ済み

Flowise（FlowiseAI/Flowise、ノーコードの LLM アプリ構築ツール）の 3.1.4 までで、認証済みユーザーがカスタム関数のサンドボックス（vm2）を抜け、OS コマンドを実行できる不具合（CVE-2026-119978、CWE-749）が 10/30 に NVD へ公開されました。CVSS は v3.1 が 8.5（High）、v4.0 が 9.0（Critical）で、どちらも CNA の値です。修正版は確認できておらず、リポジトリは 8/13 にアーカイブされています。

何が起きるか

• NVD の説明によると、環境変数 ALLOW_BUILTIN_DEP=true のとき、許可リストにある langchain と mammoth を悪用できます。認証済みユーザーが /api/v1/node-custom-function に JavaScript を送り、LocalFileStore で mammoth パッケージ内へファイルを書き込んで require すると、サンドボックスを抜けて Flowise のプロセスのユーザー権限でコマンドを実行できるとされています。
• 当サイトでは、main ブランチ（最終コミット 8/13）の packages/components/src/utils.ts を確認しました。ALLOW_BUILTIN_DEP が true のとき許可リスト availableDependencies に外部依存が加わる実装（1736 行目）で、リストには langchain と mammoth が今も入っています。同じ箇所のコメントは、puppeteer と playwright を足してはならないと注意しています（過去の脱出の経路を塞いだもの）。
• 当サイトでは、サンドボックス脱出そのものは再現していません。コードの確認のみです。
• 実際の悪用の報告は確認できていません。CISA の KEV には載っていません（2026.10.30 版・1766 件で確認）。

影響を受ける条件

項目	内容
対象	Flowise 3.1.4 まで（NVD・CNA の記載。下限は未確認）
前提	ALLOW_BUILTIN_DEP=true であること。/api/v1/node-custom-function を使える認証済みユーザーであること（NVD の説明）
評価	CVSS v3.1 は 8.5（High、AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H）、v4.0 は 9.0。値は CNA の VulnCheck が付けたもので、NVD 自身の評価ではない。NVD の状態は「Deferred」（10/30 時点）。GitHub の勧告（GHSA-7pc2-8w3w-pqfg、未レビュー）は Critical
弱点の分類	CWE-749（危険なメソッドや関数の公開）
EPSS	0.32%（パーセンタイル 24.6%、10/31 時点、FIRST）
修正	確認できず。最新のリリースは flowise@3.1.4（7/29）で、これが対象に含まれる

修正の状況

• NVD の記載には unsupported-when-assigned（割り当て時点でサポート終了）のタグが付いています。
• Flowise のリポジトリは 8/13 にアーカイブされています。8/3 のコミットで SECURITY.md が「製品の終了（SUNSET）」の通知に置き換わり、新しい脆弱性の報告は受け付けないと書かれています。
• 同じサンドボックスの別の脱出（puppeteer を使う経路、GHSA-9gvv-qjj3-2p6g）は 3.1.3（6/25）で修正されています。今回の経路は、3.1.4 以降に直した版もコミットも確認できていません。

対応として考えられること（本記事の推定）

1. ALLOW_BUILTIN_DEP を true にしていないか確認します。true なら外します。NVD の説明では、この設定が悪用の前提です。ただし、外した場合に今回の経路が閉じることは、当サイトでは検証していません。
2. /api/v1/node-custom-function を使えるユーザーを必要な人に絞り、Flowise を外部から直接到達できない場所に置きます。プロセスは root ではない権限で動かし、コンテナなら権限を落とします。
3. 保守が終了しているため、移行先の検討が必要です。修正版が出ない前提で計画します。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• NVD の評価は未実施（状態は Deferred）で、CVSS は CNA（VulnCheck）の値です。
• 当サイトでは、サンドボックス脱出を再現していません。コードの確認のみです。
• 3.1.4 より前のどの版から対象かは確認できていません。NVD の記載は「3.1.4 まで」です。
• ALLOW_BUILTIN_DEP を設定していない場合に影響があるかは、NVD の説明に従えば対象外ですが、当サイトでは確認していません。
• 日付は、NVD の公開（2026-10-30 18:17 UTC）と GitHub のコミット・リリースの記録に基づきます。