「Flowise」のRCE脆弱性 - 旧版に影響と説明

AIアプリケーションのローコード開発フレームワーク「Flowise」に、リモートより任意のコードを実行されるおそれのある深刻な脆弱性が判明した。2025年4月のアップデートで修正済みと見られる。

ユーザーより入力された内容が動的に評価される機能において、データ検証不備の脆弱性「CVE-2025-55346」が判明したもの。概念実証（PoC）なども公開されている。

細工したPOSTリクエストをAPI経由で送信することで、ホスト環境におけるサンドボックス外でJavaScriptを実行し、リモートより任意のコマンドが実行可能としている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

同脆弱性に関しては、2025年8月にJFrogがアドバイザリを公開し、脆弱性への対策は未提供であるとしていたが、Flowiseの開発関係者は2025年10月3日にアドバイザリを公開。同脆弱性の影響範囲を「同2.2.7-patch.1」および以前のバージョンであると説明した。

アドバイザリにおいて具体的なパッチバージョンの言及はないが、現地時間2025年4月28日にリリースされた「同2.2.8」にて修正されたものと見られる。またその後アップデートが継続されており、2025年10月8日時点で最新版は「同3.0.8」となっている。

（Security NEXT - 2025/10/09 ）ツイート