Flowiseのバージョン3.1.2以前には、カスタムMCPサーバー機能に複数のOSコマンドインジェクションの脆弱性が存在します。これは、コマンドフラグの検証が不完全であり、ローカルファイルアクセス制限における正規表現のバイパスが原因です。Flowiseアカウントを持つ攻撃者は役割に関係なく、またはchatflowsの表示および更新権限を持つAPIアクセスを利用して、悪意のあるMCPサーバーを設定できます。これにより、validateCommandFlagsのブロックリスト（たとえば 'docker build' はブロックされず、'-y' のみがブロックされ、'npx --yes' はブロックされません）やvalidateArgsForLocalFileAccessの検査を回避し、Flowiseホスト上で任意のコマンドを実行させることが可能になります。

ベンダ情報を参照して適切な対策を実施してください。