Apa yang terjadi
piflow 2.0.0 hingga 2.0.1 mengandung RCE tanpa autentikasi pada agen chat DeepAgents: endpoint POST /chat dan POST /chat/stream tidak memiliki autentikasi, dan penyerang dapat menginstruksikan agen untuk memanggil alat exec_shell, yang menjalankan perintah arbitrer melalui subprocess.run tanpa persetujuan manusia atau allow-list, mengekspos rahasia lingkungan seperti kunci API LLM dan kredensial database.
Mengapa penting
Alat shell agen dapat dijangkau sebelum autentikasi, sehingga pemanggil jarak jauh dapat mengubah agen chat pipeline data menjadi primitif eksekusi perintah dan membaca rahasia LLM/DB yang dimilikinya. Kelas yang sama dengan RCE agen-shell tanpa autentikasi lainnya tetapi pada proyek yang lebih niche.
Vektor serangan
Prompt tanpa autentikasi ke POST /chat atau /chat/stream mendorong alat exec_shell
Sistem yang terdampak
piflow 2.0.0 hingga 2.0.1 (cas-bigdatalab)
Mitigasi
Tingkatkan ke rilis yang diperbaiki; tambahkan autentikasi ke endpoint /chat dan allow-list/gerbang persetujuan pada exec_shell