🇰🇷 한글 설명
Flowise 3.1.3 미만 버전의 Custom MCP 노드에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. CUSTOM_MCP_PROTOCOL이 stdio로 설정된 경우, 인증된 사용자가 환경 변수와 명령 인자를 조작하여 임의의 시스템 명령을 실행할 수 있습니다.
💡 쉬운 설명
Flowise라는 프로그램을 사용하는 권한이 있는 사람이 시스템 설정을 몰래 바꿔서 컴퓨터에 나쁜 명령을 내릴 수 있는 문제입니다. 이를 통해 해커가 서버의 제어권을 완전히 가져갈 위험이 있습니다.
🇺🇸 원문 (English)
Flowise versions before 3.1.3 contain a remote code execution vulnerability in the Custom MCP node when CUSTOM_MCP_PROTOCOL is set to stdio, allowing authenticated users to execute arbitrary commands by manipulating environment variables and command arguments. Attackers can abuse PYTHONWARNINGS and BROWSER environment variables with python3, or leverage the root working directory with node to bypass validation and execute system commands.
📍 영향받는 시스템
Flowise versions before 3.1.3
⚔️ 공격 벡터
인증된 사용자가 환경 변수(PYTHONWARNINGS, BROWSER 등) 및 명령 인자를 조작하여 시스템 명령 실행
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.3보다 낮으면 취약한 상태이며, 3.1.3 이상이면 안전합니다.
npm list flowise --depth=0 | grep -E 'flowise@'