Ανακάλυψη Σοβαρής Ευπάθειας στην Πλατφόρμα Flowise
Μια σοβαρή ευπάθεια, γνωστή ως CVE-2025-59528, έχει έρθει στη δημοσιότητα και αφορά την ανοιχτού κώδικα πλατφόρμα Flowise, η οποία χρησιμοποιείται για τη δημιουργία προσαρμοσμένων εφαρμογών βασισμένων σε LLM (Large Language Models). Αυτή η ευπάθεια επιτρέπει στους χάκερ να εκτελούν αυθαίρετο κώδικα μέσω της εισαγωγής JavaScript, θέτοντας σε κίνδυνο τη ασφάλεια των συστημάτων.
Πώς Λειτουργεί η Ευπάθεια
Η ευπάθεια προέρχεται από τον κόμβο Flowise CustomMCP, ο οποίος επιτρέπει στους χρήστες να συνδέονται σε εξωτερικούς διακομιστές Model Context Protocol (MCP). Η διαδικασία αυτή αξιολογεί με μη ασφαλή τρόπο τις ρυθμίσεις διαμόρφωσης mcpServerConfig. Αυτό σημαίνει ότι οι hackers μπορούν να εισάγουν κακόβουλο JavaScript χωρίς να υπάρχει κάποιο μέτρο ασφαλείας για να το εμποδίσει.
Βασικά Στοιχεία της Ευπάθειας CVE-2025-59528
- Επιτρέπει: Εκτέλεση αυθαίρετου JavaScript.
- Επίπτωση: Πρόσβαση στο σύστημα αρχείων και εκτέλεση εντολών.
- Αριθμός εκτεθειμένων συστημάτων: Υπολογίζεται ότι υπάρχουν 12.000 έως 15.000 εκτεθειμένα συστήματα Flowise στο διαδίκτυο.
Αντίμετρα και Ενημερώσεις
Η εταιρεία ανάπτυξης της πλατφόρμας Flowise έχει ήδη κυκλοφορήσει ενημερώσεις για να επιδιορθώσει το πρόβλημα. Η έκδοση 3.0.6 περιλαμβάνει διορθώσεις για την αναφερθείσα ευπάθεια, με την πιο πρόσφατη έκδοση (3.1.1) να κυκλοφορεί πριν από δύο εβδομάδες.
Συμβουλές για Χρήστες
Ακολουθούν ορισμένες συστάσεις για τους χρήστες της πλατφόρμας:
- Αναβάθμιση: Είναι επιτακτική ανάγκη οι χρήστες να αναβαθμίσουν στην έκδοση 3.1.1 ή τουλάχιστον στην 3.0.6.
- Επανεξέταση παρουσιών: Όσοι δεν απαιτούν εξωτερική πρόσβαση θα πρέπει να εξετάσουν το ενδεχόμενο κατάργησης των παρουσιών τους από το δημόσιο Διαδίκτυο.
Η Caitlin Condon, ερευνήτρια ασφαλείας στην VulnCheck, ανακοίνωσε ότι η ευπάθεια CVE-2025-59528 ανιχνεύθηκε νωρίς το πρωί και υπάρχει ήδη καταγραφή περιπτώσεων εκμετάλλευσης. Η Condon σημείωσε: «Η ανίχνευση της ευπάθειας ήρθε από το δίκτυο Canary του VulnCheck» και προειδοποίησε για τον κίνδυνο που αυτή η ευπάθεια μπορεί να προκαλέσει.
Επιπλέον Ευπάθειες που Επηρεάζουν το Flowise
Εκτός από την CVE-2025-59528, υπάρχουν και άλλες ευπάθειες που επηρεάζουν την πλατφόρμα Flowise, όπως οι CVE-2025-8943 και CVE-2025-26319. Αυτές οι ευπάθειες έχουν παρατηρηθεί να εκμεταλλεύονται ενεργά, στα πρότυπα της CVE-2025-59528.
Για περισσότερες πληροφορίες σχετικά με την ασφάλεια στον τομέα της τεχνολογίας, μπορείτε να επισκεφθείτε τις σελίδες της CISA και του OWASP.
Εν κατακλείδι, κρίνεται αναγκαίο οι χρήστες της πλατφόρμας Flowise να είναι πάντα σε εγρήγορση, να παρακολουθούν συνεχώς τις ανακοινώσεις για νέες ενημερώσεις και να εφαρμόζουν τις καλύτερες πρακτικές ασφαλείας.
Η αυτοματοποιημένη διενέργεια δοκιμής αποδεικνύει ότι η διαδρομή υπάρχει. Το BAS αποδεικνύει εάν τα χειριστήρια σας το σταματούν. Οι περισσότερες ομάδες τρέχουν η μία χωρίς την άλλη.
Αυτή η λευκή βίβλος χαρτογραφεί έξι επιφάνειες επικύρωσης, δείχνει πού τελειώνει η κάλυψη και παρέχει στους επαγγελματίες τρεις διαγνωστικές ερωτήσεις για οποιαδήποτε αξιολόγηση εργαλείου.