🇰🇷 한글 설명
Flowise 3.1.3 미만 버전의 Airtable Agent 노드에서 코드 주입 취약점이 발견되었습니다. 공격자는 난독화 기술을 사용하여 파이썬 코드 검증 차단 목록을 우회하고, 인증되지 않은 상태에서 임의의 파이썬 코드를 실행할 수 있습니다. 이 코드는 샌드박스 처리가 되지 않은 pyodide 환경에서 실행되어 호스트 운영체제에 대한 전체 권한을 가질 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 메시지를 보내면 시스템이 이를 정상적인 명령어로 착각하여 악성 코드를 실행하게 됩니다. 이 과정에서 해커는 컴퓨터의 모든 권한을 탈취하여 시스템을 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Flowise before 3.1.3 contains a code injection vulnerability in the Airtable Agent node that allows unauthenticated attackers to execute arbitrary Python code by bypassing the pythonCodeValidator blocklist through obfuscation techniques. Attackers can send crafted prompts to a chatflow using the Airtable Agent node to inject malicious Python code that executes in an unsandboxed pyodide environment with full access to the host operating system.
📍 영향받는 시스템
Flowise versions prior to 3.1.3
⚔️ 공격 벡터
Airtable Agent 노드를 사용하는 채팅 플로우에 난독화된 파이썬 코드가 포함된 프롬프트를 전송하여 공격
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.3 미만인지 확인하십시오.
npm list flowise | grep -E 'flowise@'