🇰🇷 한글 설명
Flowise 3.1.4 미만 버전의 Cheerio, Playwright, Puppeteer 문서 로더 노드에서 SSRF 보호를 우회하는 서버 측 요청 위조 취약점이 발견되었습니다. 공격자는 임의의 URL을 제공하여 클라우드 메타데이터, 내부 서비스 및 프라이빗 네트워크 자원을 탈취하고 그 응답 내용을 문서 텍스트로 가져올 수 있습니다.
💡 쉬운 설명
공격자가 조작된 주소를 입력하여 서버가 내부 네트워크나 중요한 데이터에 대신 접근하도록 만드는 보안 결함입니다. 이를 통해 서버 내부의 비밀 정보나 클라우드 설정 데이터가 유출될 수 있습니다.
🇺🇸 원문 (English)
Flowise versions before 3.1.4 contain a server-side request forgery vulnerability in Cheerio, Playwright, and Puppeteer document loader nodes that bypass SSRF protection. Attackers can provide arbitrary URLs to fetch cloud metadata, internal services, and private network resources with response content returned as document text.
📍 영향받는 시스템
Flowise versions before 3.1.4
⚔️ 공격 벡터
문서 로더 노드에 악의적인 URL을 입력하여 내부 네트워크 및 클라우드 메타데이터에 접근
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.4 미만인지 확인하십시오.
npm list flowise | grep flowise