Die Schwachstelle betrifft Flowise und sitzt in der Konfiguration von MCP-Servern. Dort wird der Parameter für das Arbeitsverzeichnis (cwd) nicht ausreichend geprüft. Die vorhandene Pfadprüfung greift nur bei den übergebenen Argumenten: Wer dort unauffällige, scheinbar harmlose Dateinamen einträgt, gleichzeitig aber das Arbeitsverzeichnis frei bestimmt, kann die Validierung umgehen. Auf diesem Weg lässt sich erreichen, dass statt des erwarteten Programms eigener, untergeschobener Code ausgeführt wird. Ein Angreifer benötigt dafür ein gültiges Konto beziehungsweise eine bestehende Anmeldung an der Anwendung; anschließend kann er aus der Ferne beliebige Befehle auf dem Server ausführen, auf dem Flowise läuft. Damit steht faktisch das gesamte System mitsamt den dort verarbeiteten Daten, Schlüsseln und Anbindungen an weitere Dienste offen. Betroffen sind Installationen, in denen Nutzer MCP-Server-Konfigurationen anlegen oder verändern dürfen.