CVE-2024-58351
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.7%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2024-58351 betrifft Flowise vor Version 2.1.4 und ermöglicht die Injektion von Konfigurationen in den Chainflow während der Ausführung über die Option 'overrideConfig'. Diese Schwachstelle, die sowohl in der Frontend-Webintegration als auch in der Backend-Prediction-API vorhanden ist, kann zu Remote Code Execution, Sandbox-Escape, Denial of Service, Server-Side Request Forgery, Prompt Injection und Datenexfiltration führen. Die Probleme sind selbst-zielgerichtet und betreffen nicht andere Benutzer. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf ein hohes Risiko hinweist. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1% liegt und die Schwachstelle nicht in CISA KEV gelistet ist, sollte die hohe potenzielle Auswirkung beachtet werden. Security-Teams sollten umgehend auf Flowise Version 2.1.4 oder höher aktualisieren, um die genannten Risiken zu mitigieren. Eine Überprüfung der Konfigurationen und der Nutzung der 'overrideConfig'-Option ist ebenfalls ratsam, um potenzielle Missbräuche zu identifizieren und zu verhindern.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Flowise before 2.1.4 allows configuration to be injected into the Chainflow during execution via the overrideConfig option, supported in both the frontend web integration and the backend Prediction API. Because this feature is enabled by default with no allow-list of permitted variables and relies on vm2 for sandboxing, an attacker can abuse it to achieve remote code execution and sandbox escape, denial of service by crashing the server, server-side request forgery, prompt injection, and server variable and data exfiltration. These issues are self-targeted and do not persist to other users.
GitHub Advisories
Flowise OverrideConfig security vulnerability