🇰🇷 한글 설명
Flowise 3.1.3 미만 버전의 pythonCodeValidator.ts에서 샌드박스 탈출 취약점이 발견되었습니다. 인증된 공격자가 Pandas DataFrame의 특정 메서드를 악용하여 업로드된 CSV 데이터를 유출하거나 서버 파일 시스템에 임의의 파일을 작성할 수 있습니다.
💡 쉬운 설명
프로그램 내부의 보안 벽을 뚫고 들어와 서버에 몰래 파일을 만들거나 중요한 데이터를 훔쳐갈 수 있는 결함입니다. 공격자가 허용되지 않은 명령을 실행하여 서버를 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Flowise before 3.1.3 contains a sandbox escape vulnerability in pythonCodeValidator.ts that fails to block native Pandas DataFrame methods like to_csv, to_json, pipe, and query. Authenticated attackers can exploit this to exfiltrate uploaded CSV data or write arbitrary files to the server filesystem.
📍 영향받는 시스템
Flowise version < 3.1.3
⚔️ 공격 벡터
인증된 사용자가 pythonCodeValidator를 통해 조작된 Pandas 메서드를 실행하여 공격
🛡️ 대응 방법
Flowise를 3.1.3 이상의 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.1.3 미만(예: 3.1.2 이하 또는 2.x.x)이면 취약한 상태입니다.
npm list flowise --depth=0 | grep -E 'flowise@([0-2]\.|3\.[0-2]\.)'