„`html
Zusammenfassung
CVE-2026-67620 ist eine Server-Side Request Forgery (SSRF) Schwachstelle in Flowise bis Version 3.1.4. Die Vulnerability betrifft die SSRF-Schutzmaßnahmen in der Datei httpSecurity.ts. Durch unvollständige Deny-List-Konfiguration können authentifizierte Angreifer willkürliche GET-Anfragen zu Cloud-Metadaten-Services absetzen. Der Schweregrad wird mit CVSS 7.7 als hoch eingestuft.
Betroffene Systeme
- Flowise Version 3.1.4 und frĂĽhere Versionen
- Oracle Cloud Infrastructure (OCI) Deployments
- Alibaba Cloud Deployments
- Systeme mit aktiviertem URL-Fetching in Public Chatflows
Technische Details
Die DEFAULT_DENY_LIST in httpSecurity.ts omittiert kritische Cloud-Metadaten-Endpunkte:
- Oracle Cloud Infrastructure: 192.0.0.192
- Alibaba Cloud: 100.100.100.200
Angreifer können die fetch-links API mit manipulierten URL-Parametern missbrauchen. Durch Redirect-basierte Umgehungstechniken wird die Deny-List-Validierung bypassed. Dies ermöglicht Zugriff auf Instance-Metadaten-Services und die Exfiltration von:
- Instance Identity Daten
- Role Credentials
- Sensiblen Cloud-Konfigurationsdaten
Besonders kritisch: Unauthentifizierter Zugriff ist möglich, wenn URL-Fetching-Nodes in öffentlichen Chatflows existieren.
Empfohlene MaĂźnahmen
- Umgehende ĂśberprĂĽfung der Flowise-Installation auf betroffene Versionen
- Implementierung einer erweiterten Deny-List mit vollständigen Cloud-Metadaten-Endpunkten
- Deaktivierung von URL-Fetching in öffentlich zugänglichen Chatflows
- Netzwerk-Level Restriktionen fĂĽr Metadaten-Endpunkte
- Monitoring von ungewöhnlichen Anfragen an 192.0.0.192 und 100.100.100.200
- Regelmäßige Überprüfung von Cloud-Credentials auf unerlaubte Zugriffe
Bewertung
CVSS Score: 7.7 (High)
Die Vulnerability ermöglicht potenziell unbegrenzten Zugriff auf Cloud-Credentials und Instance-Metadaten. Das Fehlen eines verfügbaren Patches verschärft das Risiko erheblich. Betroffene Organisationen sollten sofortige Mitigationsmaßnahmen implementieren.
„`