🇰🇷 한글 설명
Flowise 3.1.4 미만 버전의 Docker 이미지 빌드 워크플로우에서 스크립트 주입 취약점이 발견되었습니다. 저장소 쓰기 권한을 가진 공격자가 tag_version 또는 node_version 입력값에 쉘 메타문자를 삽입하여 임의의 명령을 실행하고 AWS 자격 증명 및 Docker Hub 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램 설정값에 악성 명령어를 몰래 끼워 넣어 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 있습니다. 이를 통해 해커가 중요한 비밀번호나 인증 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
Flowise versions before 3.1.4 contain a script injection vulnerability in Docker image build workflows where workflow_dispatch inputs are directly interpolated into shell run blocks. Attackers with repository write access can inject shell metacharacters through inputs like tag_version and node_version to execute arbitrary commands and steal AWS credentials and Docker Hub tokens.
📍 영향받는 시스템
Flowise versions before 3.1.4
⚔️ 공격 벡터
GitHub Actions의 workflow_dispatch 입력값(tag_version, node_version 등)을 통한 쉘 메타문자 주입
🛡️ 대응 방법
Flowise를 3.1.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.1.4 미만인 경우 해당 취약점에 노출된 상태입니다.
flowise --version 2>/dev/null || docker inspect flowise:latest | grep -i version