Die Sicherheitsfirma VulnCheck hat erste konkrete Hinweise auf Exploitations-Versuche in freier Wildbahn dokumentiert. Das Problem liegt in der mangelhaften Validierung von Benutzereingaben bei der JavaScript-Codeverarbeitung. Konkret: Wenn Flowise-Nutzer externe MCP-Server (Model Context Protocol) konfigurieren, wird der eingegebene JavaScript-Code nicht überprüft, sondern direkt mit vollständigen Node.js-Laufzeitprivilegien ausgeführt. Diese architekturelle Schwäche erlaubt es Angreifern, mit nur einem API-Token kompletten Zugriff auf das System zu erlangen und sensible Daten abzuziehen.
Flowise selbst betont in seiner Sicherheitsmitteilung: “Da nur ein API-Token erforderlich ist, stellt dies ein extremes Risiko für die Geschäftskontinuität und Kundendaten dar.” Die betroffenen Versionen reichen bis 3.0.5. Das Patch-Update auf Version 3.0.6 wurde im September 2025 veröffentlicht.
Caitlin Condon, VP Security Research bei VulnCheck, warnt vor der Gefährlichkeit der Situation: “Dies ist eine Fehler mit kritischer Schweregrad in einer beliebten KI-Plattform, die von vielen großen Konzernen genutzt wird.” Die Kombination aus einer öffentlich dokumentierten Lücke und der großen Zahl exponierter Instanzen schafft ideale Bedingungen für opportunistische Angreifer, um gezielt nach verwundbaren Systemen zu scannen.
Für Organisationen in Deutschland gilt: Flowise-Deployments müssen sofort überprüft werden. Priorität sollte die Inventarisierung aller Flowise-Installationen haben, um festzustellen, welche Versionen im Einsatz sind. Unmittelbar sollte ein Update auf Version 3.0.6 oder neuer erfolgen. Zusätzlich empfiehlt sich eine Überprüfung von Systemlogs auf verdächtige Aktivitäten, insbesondere auf ungewöhnliche JavaScript-Codeausführungen und Dateisystemzugriffe. API-Token sollten überprüft und bei Verdacht auf Kompromittierung rotiert werden.
Die Tatsache, dass Hacker bereits aktiv nach verwundbaren Systemen suchen, unterstreicht die Dringlichkeit des Handelns. Unternehmen, die Flowise für geschäftskritische KI-Workflows nutzen, setzen ihre gesamte Infrastruktur und Kundendaten einem erheblichen Risiko aus, solange die Schwachstelle nicht gepatcht ist.