CVE-2024-58351
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 — wyżej niż 46% wszystkich znanych CVE
Streszczenie
Flowise w wersjach przed 2.1.4 pozwala na wstrzykiwanie konfiguracji do Chainflow podczas wykonywania za pomocą opcji overrideConfig. Funkcja ta jest domyślnie włączona i nie posiada listy dozwolonych zmiennych, co umożliwia atakującym zdalne wykonanie kodu oraz inne poważne ataki.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu, awarie serwera oraz wyciek danych, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa i dostępności systemu.
Rekomendacja
Zaleca się aktualizację Flowise do wersji 2.1.4 lub nowszej oraz przegląd konfiguracji w celu wyłączenia opcji overrideConfig, jeśli nie jest to konieczne.
Oryginalny opis (angielski, źródło NVD)
Flowise before 2.1.4 allows configuration to be injected into the Chainflow during execution via the overrideConfig option, supported in both the frontend web integration and the backend Prediction API. Because this feature is enabled by default with no allow-list of permitted variables and relies on vm2 for sandboxing, an attacker can abuse it to achieve remote code execution and sandbox escape, denial of service by crashing the server, server-side request forgery, prompt injection, and server variable and data exfiltration. These issues are self-targeted and do not persist to other users.