🇰🇷 한글 설명
Flowise 3.1.3 미만 버전의 CSV Agent 노드 내 customReadCSV 파라미터에서 코드 주입 취약점이 발견되었습니다. 공격자는 정적 정규식 차단 목록을 우회하여 인증된 상태에서 임의의 파이썬 코드를 실행할 수 있으며, 이는 샌드박스가 없는 pyodide 환경을 통해 시스템 전체 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
Flowise라는 프로그램의 특정 기능을 이용해 해커가 몰래 악성 명령어를 실행할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 컴퓨터의 모든 권한을 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
Flowise before 3.1.3 contains a code injection vulnerability in the CSV Agent node's customReadCSV parameter that allows authenticated attackers to execute arbitrary Python code. The validator uses a static regex blocklist that can be bypassed through obfuscation techniques, enabling attackers to execute code in the unsandboxed pyodide environment with full system access.
📍 영향받는 시스템
Flowise versions prior to 3.1.3
⚔️ 공격 벡터
인증된 공격자가 CSV Agent 노드의 customReadCSV 파라미터에 난독화된 파이썬 코드를 주입하여 공격
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 flowise 버전이 3.1.3 미만으로 표시되면 취약한 상태입니다.
npm list flowise | grep -E 'flowise@([0-2]\.|3\.[0-2]\.)'