🇰🇷 한글 설명
Flowise는 대규모 언어모델 기반 애플리케이션을 구축하는 드래그앤드롭 UI인데, 3.1.0 이전 버전에서 설정파일 업로드 검증이 부족하여 악의적 행위자가 .js 파일을 업로드할 수 있습니다. 이를 통해 서버에 악의적인 Node.js 웹셸을 저장하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
Flowise 프로그램에서 나쁜 코드 파일을 몰래 업로드할 수 있는 보안 문제입니다. 이를 이용하면 해커가 서버에서 명령을 직접 실행할 수 있습니다.
🇺🇸 원문 (English)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, the Chatflow configuration file upload settings can be modified to allow the application/javascript MIME type. This lets an attacker upload .js files even though the frontend doesn’t normally allow JavaScript uploads. This enables attackers to persistently store malicious Node.js web shells on the server, potentially leading to Remote Code Execution (RCE). This vulnerability is fixed in 3.1.0.
📍 영향받는 시스템
Flowise 버전 3.1.0 이전 모든 버전
⚔️ 공격 벡터
웹 인터페이스의 Chatflow 설정 파일 업로드 기능에서 MIME 타입 검증 우회 후 JavaScript 파일 업로드
🛡️ 대응 방법
Flowise를 3.1.0 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 Flowise 버전이 3.1.0 이상인지 확인하고, 3.1.0 미만이면 업그레이드 필요
npm list flowise 2>/dev/null | grep flowise