Il framework Metasploit ha rilasciato il 23 luglio due moduli exploit con caratteristiche tecniche distinte: un modulo per RCE unauthenticated in FlowiseAI, piattaforma open source di orchestrazione di flussi LLM, e un modulo per privilege escalation locale in macOS PackageKit. La novità più rilevante è l'operazionalizzazione della superficie di attacco AI: la prompt injection diventa strumento di esecuzione remota di codice, non più scenario teorico.
- CVE-2026-41264 permette RCE unauthenticated in FlowiseAI 1.3.0-3.0.13 tramite prompt injection in CSV Agent con generazione ed esecuzione di codice Python
- L'exploit Flowise richiede API key con permesso
chatflows:createma bypassa l'autenticazione nativa della piattaforma - CVE-2024-27822 sfrutta l'ereditarietà dell'ambiente ZSH in PackageKit per eseguire codice utente con privilegi root durante installazione PKG
- Entrambi i moduli sono inclusi nell'update settimanale di Metasploit con PR #21407 per Flowise e riferimenti tecnici per il modulo macOS
Da prompt injection a RCE: il meccanismo di FlowiseAI
La vulnerabilità CVE-2026-41264 risiede nel metodo run della classe CSV_Agents di Flowise. Secondo il blog ufficiale di Metasploit, "CVE-2026-41264 is an unauthenticated RCE run method of the CSV_Agents class in Flowise". Il vettore di attacco si articola in tre fasi: upload di un file CSV contenente payload malevolo, iniezione di prompt che inducono il modello a generare codice Python arbitrario, esecuzione di tale codice nel server senza sandboxing efficace.
Il modulo, contribuito da Takahiro Yokoyama e zdi-disclosures con la pull request #21407, sfrutta una combinazione di fattori: "insufficient sandboxing and an incomplete list of disallowed inputs". La citazione tecnica completa della fonte descrive il meccanismo: "The CSV Agent feature evaluates LLM-generated Python code without proper sandboxing, allowing a prompt injection to achieve arbitrary code execution as the user running the server". Le versioni affette sono identificate con precisione: dalla 1.3.0 alla 3.0.13.
Un elemento architetturale rilevante è il requisito di API key. Il modulo richiede una chiave con permesso chatflows:create, ma non richiede autenticazione Flowise per innescare la falla. Questo significa che una chiave compromessa, anche senza credenziali utente valide, apre il vettore RCE.
macOS PackageKit: quando ZSH eredita privilegi root
Il secondo modulo riguarda CVE-2024-27822, una vulnerabilità nel framework PackageKit di macOS. Il meccanismo è diverso: quando uno script di installer PKG utilizza uno shebang ZSH, PackageKit lo esegue come root ereditando l'ambiente dell'utente che ha avviato l'installazione. Secondo la fonte: "When a PKG installer script uses a ZSH shebang, PackageKit runs it as root while inheriting the installing user's environment, causing ZSH to source the user's ~/.zshenv with root privileges".
Il modulo pianta il payload nel file ~/.zshenv dell'utente, configurandolo per attivarsi solo quando il processo ZSH gira come root. Questo assicura che il codice malevolo non esegua durante l'uso normale della shell, riducendo il rischio di rilevamento, ma si attivi esattamente nel momento privilegiato dell'installazione software.
Il perimetro di versioni è definito: macOS 14.4, 13.6.6, 12.7.4 e la serie 11 con precedenti sono affetti. Le patch sono disponibili nelle release 14.5, 13.6.7 e 12.7.5. Il modulo non sfrutta una vulnerabilità zero-day: la falla è nota dal 2024, ma la sua inclusione in Metasploit ne rende l'uso sistematico e standardizzato.
"The CSV Agent feature evaluates LLM-generated Python code without proper sandboxing, allowing a prompt injection to achieve arbitrary code execution as the user running the server"
Perché è importante
Il dossier non specifica se esistano exploit in-the-wild per entrambe le vulnerabilità. La fonte non documenta misure correttive specifiche oltre ai riferimenti alle patch macOS. Non è chiaro se CVE-2026-41264 sia già stato pubblicato nei database NVD o MITRE al momento della release del modulo. Il CVSS numerico per la falla Flowise non è riportato nel brief tecnico, pur essendo classificato qualitativamente come RCE.
Per il settore AI/ML, la release di Metasploit segna una soglia: l'insufficiente sandboxing in tool che generano ed eseguono codice Python da LLM non è più una nota a margine di conference talk, ma una primitiva exploit standardizzata. La velocità di weaponizzazione della prompt injection supera quella delle difese architetturali: sandboxing incompleta e liste di input disallowed si dimostrano inadeguate contro moduli che automatizzano l'intera catena di attacco.
Per gli utenti macOS, il rischio persiste su versioni non aggiornate dove l'installazione di pacchetti software terzi, anche apparentemente legittimi, può innescare privilege escalation. L'ereditarietà dell'ambiente shell è un comportamento noto ma sottovalutato nella progettazione dei meccanismi di installazione privilegiata.
Domande frequenti
Qual è la differenza tecnica tra le due vulnerabilità?
CVE-2026-41264 è una falla di sicurezza logica nell'interazione LLM-applicazione: mancanza di sandboxing nel parsing di output generativo. CVE-2024-27822 è un difetto di isolation nel sistema operativo: ereditarietà dell'ambiente utente in processo privilegiato. La prima è applicativa e dipende dalla configurazione della piattaforma AI, la seconda di sistema e legata al comportamento di PackageKit su versioni macOS specifiche.
Il modulo Flowise richiede accesso autenticato?
No. L'exploit non richiede autenticazione Flowise per innescare la falla, ma necessita di una API key con permesso chatflows:create. Questo crea una condizione intermedia: non è accesso completamente aperto, ma la barriera è ridotta a una singola credenziale di servizio, potenzialmente esposta o con scope eccessivo.
Perché la data del rilascio è 2026-07-11 nel dossier?
Il brief riporta 2026-07-11 come data evento, ma questa è futuristica rispetto al contesto temporale noto. Il dossier non chiarisce se si tratti di un errore di data, contenuto predittivo o riferimento a un calendario di rilascio programmato. La fonte primaria è il blog Metasploit di Rapid7 datato contestualmente alla pubblicazione.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.