Un hacker que operaba desde Starlink y 15.000 víctimas potenciales: expertos en TI advierten sobre una oleada de ataques a Flowise

Una vulnerabilidad con la máxima calificación de peligro ya comenzó a utilizarse en ataques, aunque la corrección apareció hace muy poco. Se trata de la popular plataforma para desarrollar soluciones basadas en inteligencia artificial Flowise.

El sistema VulnCheck registró los primeros intentos de explotación CVE-2025-59528 la mañana del 8 de abril. La vulnerabilidad obtuvo una puntuación de 10 sobre 10 y permite inyectar código arbitrario en JavaScript con su posterior ejecución en el lado del servidor.

El problema radica en la lógica de funcionamiento del servidor CustomMCP y afecta a varias versiones de Flowise. En un ataque exitoso, un atacante puede ejecutar código arbitrario, llegando a controlar el sistema.

Por ahora, toda la actividad detectada procede de una sola dirección IP, vinculada con el servicio de internet por satélite Starlink. Al mismo tiempo, actualmente hay entre 12.000 y 15.000 instalaciones de Flowise accesibles públicamente, lo que hace que la situación pueda ser potencialmente de gran escala.

Los desarrolladores ya corrigieron la vulnerabilidad en la versión Flowise 3.0.6, sin embargo no todos los usuarios han actualizado, por lo que el riesgo sigue siendo alto.

Además del nuevo problema, en los ataques ya se están explotando otras vulnerabilidades de Flowise: CVE-2025-8943 y CVE-2025-26319. Ambas ya se incluyeron anteriormente en la lista de vulnerabilidades activamente explotadas por VulnCheck, y el sistema de vigilancia sigue registrando intentos de uso.