🇰🇷 한글 설명
Flowise의 AirtableAgent.ts 모듈에서 사용자 입력에 대한 검증이 부재하여 발생하는 원격 코드 실행 취약점입니다. 사용자 입력이 프롬프트 템플릿의 question 매개변수에 직접 적용되어 sanitization 없이 Python 코드로 반영됩니다. 3.1.0에서 수정되었습니다.
💡 쉬운 설명
Flowise 도구에서 입력값이 제대로 검증되지 않아 공격자가 악의적인 코드를 삽입하여 서버를 완전히 장악할 수 있습니다. 이는 매우 높은 심각도의 원격 코드 실행 취약점입니다.
🇺🇸 원문 (English)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, there is a remote code execution vulnerability in AirtableAgent.ts caused by lack of input verification when using Pandas. The user’s input is directly applied to the question parameter within the prompt template and it is reflected to the Python code without any sanitization. This vulnerability is fixed in 3.1.0.
📍 영향받는 시스템
Flowise 3.1.0 이전 버전 (AirtableAgent 사용 시)
⚔️ 공격 벡터
웹 인터페이스의 입력 필드에 악의적인 Python 코드를 주입하여 서버에서 실행
🛡️ 대응 방법
Flowise를 3.1.0 이상으로 업그레이드하거나 AirtableAgent 사용 중단 및 입력 검증 구현
🔧 검증 코드
설치된 Flowise 버전이 3.1.0 미만이면 VULNERABLE, 3.1.0 이상이면 PATCHED로 표시됩니다.
npm list flowise 2>/dev/null | grep -E 'flowise@(0\.|1\.|2\.|3\.0\.)' && echo 'VULNERABLE' || echo 'PATCHED'