CVE-2024-58351: Injeção de código via overrideConfig no Flowise
A CVE-2024-58351 afeta o Flowise anterior à versão 2.1.4 e permite injetar configuração no Chainflow durante a execução por meio da opção overrideConfig, tanto na integração web quanto na Prediction API. A descrição aponta possíveis execução remota de código, fuga do sandbox, negação de serviço, SSRF e exfiltração de dados, e informa que o recurso vem habilitado por padrão. O registro não traz exploração confirmada nem dados estruturados de versões afetadas ou corrigidas, então o planejamento de atualização deve se apoiar nos avisos citados.
Visão geral
A CVE-2024-58351 é uma fraqueza de injeção de código (CWE-94) no Flowise. Segundo a descrição do registro, a configuração pode ser injetada no Chainflow durante a execução por meio da opção overrideConfig, suportada tanto na integração web do frontend quanto na Prediction API do backend.
Impacto
A descrição informa que o recurso vem habilitado por padrão, não possui lista de permissões de variáveis e depende do vm2 para sandboxing. Entre os desfechos possíveis estão execução remota de código e fuga do sandbox, negação de serviço por travamento do servidor, server-side request forgery, prompt injection e exfiltração de variáveis e dados do servidor. A descrição também afirma que esses problemas são autodirecionados e não persistem para outros usuários.
- A pontuação base CVSS 3.1 é 9,8 (crítica), conforme fornecida pelo CNA VulnCheck.
- Uma pontuação CVSS 4.0 de 9,3 também é fornecida pela VulnCheck.
Produtos e versões afetados
A descrição se refere ao Flowise anterior à versão 2.1.4. As listas estruturadas de afetados e correções do registro estão vazias, então não há faixas de versão adicionais nem builds corrigidos confirmados aqui. Consulte o aviso no GitHub e o aviso da VulnCheck para dados de versão autoritativos.
Status de exploração
O catálogo KEV da CISA não lista esta CVE (kev.listed é falso). Nenhuma exploração confirmada na natureza aparece nas fontes consultadas nesta análise. Dados de EPSS e SSVC não estão presentes no registro.
Correção e mitigação
- Faça o inventário das implantações do Flowise e identifique as que rodam versão anterior à 2.1.4.
- Planeje a atualização para a 2.1.4 ou posterior. O limite de versão da descrição sugere que essa release trata o problema, mas confirme no aviso do GitHub.
- Até a atualização, limite a exposição de rede da integração web e da Prediction API e restrinja quem pode fornecer entradas overrideConfig.
- Avalie se o comportamento habilitado por padrão pode ser desativado ou restringido na sua configuração.
Orientações de detecção
- Revise os logs de aplicação e de API em busca de requisições com parâmetros overrideConfig vindos de origens inesperadas.
- Monitore travamentos inesperados de processos do servidor, conexões de saída incomuns a partir do host do Flowise e acessos inesperados às variáveis de ambiente do servidor.
Limitações das informações disponíveis
O registro não possui lista estruturada de produtos afetados, lista de versões corrigidas, dados de EPSS ou SSVC, e tem status de fonte Deferred. O texto do aviso do fornecedor não esteve disponível além da descrição. As recomendações de correção são inferências, salvo quando vinculadas a uma fonte citada.
Perguntas frequentes
Quais versões do Flowise a CVE-2024-58351 atinge?
A descrição do registro se refere ao Flowise anterior à versão 2.1.4. As listas estruturadas de versões afetadas e corrigidas estão vazias, então consulte os avisos do GitHub e da VulnCheck para dados autoritativos.
Esta CVE é conhecida como explorada ativamente?
O catálogo KEV da CISA não a lista neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Isso não garante que a exploração não ocorra.
O que os administradores devem fazer primeiro?
Identificar implantações em versões anteriores à 2.1.4, planejar a atualização e limitar a exposição de rede da integração web e da Prediction API até a conclusão da atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.