---
title: "Flowise 3.1.4 まで、カスタム関数のサンドボックスを抜けて OS コマンドを実行できる（CVE-2026-119978）: 修正版なし、リポジトリはアーカイブ済み"
url: https://n-t-p.io/worldsecurity/articles/flowise-custom-function-sandbox-escape-mammoth-localfilestore-3-1-4-2026-119978
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年10月31日
updated: 2026年10月31日
severity: 高
cve: CVE-2026-119978
---

# Flowise 3.1.4 まで、カスタム関数のサンドボックスを抜けて OS コマンドを実行できる（CVE-2026-119978）: 修正版なし、リポジトリはアーカイブ済み

> **TL;DR:** Flowise 3.1.4 までで、ALLOW_BUILTIN_DEP=true のとき認証済みユーザーが langchain と mammoth を使ってサンドボックスを抜け、OS コマンドを実行できる（CVE-2026-119978、CVSS v3.1 8.5・v4.0 9.0、CNA の値）。修正版は確認できず、リポジトリは 8/13 にアーカイブ済み。NVD の評価は未実施、EPSS 0.32%、KEV なし。

**要点**
- Flowise 3.1.4 まで：ALLOW_BUILTIN_DEP=true のとき、認証済みユーザーが /api/v1/node-custom-function に送った JavaScript でサンドボックス（vm2）を抜け、OS コマンドを実行できる（CWE-749）。再現は当サイトでは未実施
- 許可リストの langchain と mammoth を悪用し、LocalFileStore で mammoth パッケージ内へファイルを書き込んで require する（NVD の説明）。main の許可リストには今も両方が入っている
- 修正版は確認できず。最新リリースは 3.1.4（7/29）。リポジトリは 8/13 にアーカイブ済みで、8/3 に製品終了の通知に変わり、新しい報告は受け付けない
- CVSS は CNA（VulnCheck）の値で v3.1 8.5・v4.0 9.0。NVD の評価は未実施（Deferred）、EPSS 0.32%、KEV なし、悪用の報告なし
- ALLOW_BUILTIN_DEP を true にしていないか確認して外す、node-custom-function を使える人と到達範囲を絞る、非 root で動かす、移行を検討する（本記事の推定。効果は検証していない）

Flowise（FlowiseAI/Flowise、ノーコードの LLM アプリ構築ツール）の 3.1.4 までで、認証済みユーザーがカスタム関数のサンドボックス（vm2）を抜け、OS コマンドを実行できる不具合（CVE-2026-119978、CWE-749）が 10/30 に NVD へ公開されました。CVSS は v3.1 が 8.5（High）、v4.0 が 9.0（Critical）で、どちらも CNA の値です。**修正版は確認できておらず、リポジトリは 8/13 にアーカイブされています。**

## 何が起きるか

- NVD の説明によると、環境変数 `ALLOW_BUILTIN_DEP=true` のとき、許可リストにある `langchain` と `mammoth` を悪用できます。認証済みユーザーが `/api/v1/node-custom-function` に JavaScript を送り、`LocalFileStore` で `mammoth` パッケージ内へファイルを書き込んで `require` すると、サンドボックスを抜けて Flowise のプロセスのユーザー権限でコマンドを実行できるとされています。
- 当サイトでは、main ブランチ（最終コミット 8/13）の `packages/components/src/utils.ts` を確認しました。`ALLOW_BUILTIN_DEP` が `true` のとき許可リスト `availableDependencies` に外部依存が加わる実装（1736 行目）で、リストには `langchain` と `mammoth` が今も入っています。同じ箇所のコメントは、`puppeteer` と `playwright` を足してはならないと注意しています（過去の脱出の経路を塞いだもの）。
- 当サイトでは、サンドボックス脱出そのものは再現していません。コードの確認のみです。
- 実際の悪用の報告は確認できていません。CISA の KEV には載っていません（2026.10.30 版・1766 件で確認）。

## 影響を受ける条件

| 項目 | 内容 |
|---|---|
| 対象 | Flowise 3.1.4 まで（NVD・CNA の記載。下限は未確認） |
| 前提 | `ALLOW_BUILTIN_DEP=true` であること。`/api/v1/node-custom-function` を使える認証済みユーザーであること（NVD の説明） |
| 評価 | CVSS v3.1 は 8.5（High、AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H）、v4.0 は 9.0。値は CNA の VulnCheck が付けたもので、NVD 自身の評価ではない。NVD の状態は「Deferred」（10/30 時点）。GitHub の勧告（GHSA-7pc2-8w3w-pqfg、未レビュー）は Critical |
| 弱点の分類 | CWE-749（危険なメソッドや関数の公開） |
| EPSS | 0.32%（パーセンタイル 24.6%、10/31 時点、FIRST） |
| 修正 | 確認できず。最新のリリースは flowise@3.1.4（7/29）で、これが対象に含まれる |

## 修正の状況

- NVD の記載には `unsupported-when-assigned`（割り当て時点でサポート終了）のタグが付いています。
- Flowise のリポジトリは 8/13 にアーカイブされています。8/3 のコミットで `SECURITY.md` が「製品の終了（SUNSET）」の通知に置き換わり、新しい脆弱性の報告は受け付けないと書かれています。
- 同じサンドボックスの別の脱出（puppeteer を使う経路、GHSA-9gvv-qjj3-2p6g）は 3.1.3（6/25）で修正されています。今回の経路は、3.1.4 以降に直した版もコミットも確認できていません。

## 対応として考えられること（本記事の推定）

1. `ALLOW_BUILTIN_DEP` を `true` にしていないか確認します。`true` なら外します。NVD の説明では、この設定が悪用の前提です。ただし、外した場合に今回の経路が閉じることは、当サイトでは検証していません。
2. `/api/v1/node-custom-function` を使えるユーザーを必要な人に絞り、Flowise を外部から直接到達できない場所に置きます。プロセスは root ではない権限で動かし、コンテナなら権限を落とします。
3. 保守が終了しているため、移行先の検討が必要です。修正版が出ない前提で計画します。

## 未確認の点

- 悪用の報告は確認できていません。KEV にも載っていません。
- NVD の評価は未実施（状態は Deferred）で、CVSS は CNA（VulnCheck）の値です。
- 当サイトでは、サンドボックス脱出を再現していません。コードの確認のみです。
- 3.1.4 より前のどの版から対象かは確認できていません。NVD の記載は「3.1.4 まで」です。
- `ALLOW_BUILTIN_DEP` を設定していない場合に影響があるかは、NVD の説明に従えば対象外ですが、当サイトでは確認していません。
- 日付は、NVD の公開（2026-10-30 18:17 UTC）と GitHub のコミット・リリースの記録に基づきます。


## 出典
- [NVD CVE-2026-119978](https://nvd.nist.gov/vuln/detail/CVE-2026-119978) — NIST NVD
- [GitHub Advisory GHSA-7pc2-8w3w-pqfg](https://github.com/advisories/GHSA-7pc2-8w3w-pqfg) — GitHub
- [VulnCheck の勧告](https://www.vulncheck.com/advisories/flowise-through-3.1.4-custom-function-sandbox-escape-rce-via-localfilestore) — VulnCheck
- [Flowise utils.ts（許可リスト・ALLOW_BUILTIN_DEP）](https://github.com/FlowiseAI/Flowise/blob/main/packages/components/src/utils.ts#L55-L114) — GitHub
- [Flowise SECURITY.md（製品終了の通知）](https://github.com/FlowiseAI/Flowise/blob/main/SECURITY.md) — GitHub
- [GitHub Advisory GHSA-9gvv-qjj3-2p6g（別経路・3.1.3 で修正）](https://github.com/advisories/GHSA-9gvv-qjj3-2p6g) — GitHub
- [Flowise リリース flowise@3.1.4](https://github.com/FlowiseAI/Flowise/releases/tag/flowise%403.1.4) — GitHub
- [FIRST EPSS CVE-2026-119978](https://api.first.org/data/v1/epss?cve=CVE-2026-119978) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/flowise-custom-function-sandbox-escape-mammoth-localfilestore-3-1-4-2026-119978