CVE-2025-34267 in Flowise
요약
\~에 의해 VulDB • 2026. 06. 08.
Flowise v3.0.1 < 3.0.8 및 'ALLOW_BUILTIN_DEP'가 활성화된 그 이후의 모든 버전은 인증된 원격 코드 실행(RCE) 취약점과 노드 VM 샌드박스 탈출 취약점을 포함하고 있으며, 이는 nodevm 실행 환경 내에서 통합 모듈(Puppeteer 및 Playwright)이 비보안적으로 사용됨에 기인합니다. Puppeteer/Playwright를 활용하는 도구를 생성하거나 실행할 수 있는 인증된 공격자는 공격자가 제어하는 브라우저 바이너리 경로와 매개변수를 지정할 수 있습니다. 도구 실행 시, 공격자가 제어하는 실행 파일과 매개변수가 호스트에서 실행되어 의도적인 nodevm 샌드박스 제한을 우회하게 되며, 이는 호스트 컨텍스트 내에서 임의 코드 실행으로 이어집니다. 이 취약점은 개발자에 의해 CVE-2025-26319와 중복된 것으로 잘못 할당되었으나 해당 식별자와는 별개로 고려되어야 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.