무슨 일이 있었나
널리 사용되는 로우 코드 LLM/에이전트 애플리케이션 빌더인 Flowise는 MCP 서버 통합 및 채팅 모델 노드에서 세 개의 연결된 구성 검증 격차를 가지고 있어 인증된 모든 사용자가 SSRF를 통해 원격 코드 실행을 달성하거나 메타데이터 엔드포인트로 LLM 제공자 자격증명을 유출할 수 있게 합니다.
왜 중요한가
Flowise는 LLM 에이전트 워크플로우를 시각적으로 조립하는 데 널리 사용됩니다; MCP 서버 구성 및 모델 엔드포인트는 인증된 낮은 권한의 모든 사용자가 도달할 수 있기 때문에 이러한 버그는 단일 손상되거나 악의적인 낮은 신뢰도 계정이 완전한 호스트 RCE 또는 인스턴스에 연결된 모든 LLM 제공자를 지원하는 API 키 탈취로 확대할 수 있게 합니다.
공격 경로
3.1.4 이전의 Flowise의 세 가지 관련 결함: (1) Custom MCP 노드의 mcpServerConfig 매개변수는 인증된 공격자가 임의 npx 패키지 이름을 지정할 수 있게 하며, 이는 실행됩니다(CVE-2026-91931); (2) 검증되지 않은 cwd 매개변수는 공격자가 args 배열의 깔끔한 파일 이름을 사용하면서 작업 디렉터리를 제어하여 경로 검증을 우회할 수 있게 하며, RCE도 생성합니다(CVE-2026-91932); (3) 채팅 모델 노드는 baseURL을 검증하지 못하여 chatflows:create/update 권한이 있는 공격자가 LLM 제공자 요청을 공격자 제어 호스트 또는 클라우드 메타데이터 서비스로 리디렉션하여 API 키를 유출할 수 있게 합니다(CVE-2026-91935).
영향받는 시스템
FlowiseAI Flowise 3.1.4 이전
완화 방안
Flowise를 3.1.4 이상으로 업그레이드하세요. 채팅플로우 및 MCP 노드 구성을 생성/편집할 수 있는 사람을 제한하세요. 세 가지 문제 모두 관리자가 아닌 인증된 액세스만 필요하기 때문입니다.