Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in der Open‑Source‑Software Flowise ausnutzen, um beliebigen Code auszuführen, Objekte anderer Benutzer zu übernehmen und Informationen offenzulegen. Die Schwachstellen werden im Sicherheits‑Advisory WID‑SEC‑2026‑1554 beschrieben.
Ăśber Flowise
Flowise ist ein webbasiertes Tool zum Erstellen und Verwalten von Workflows für große Sprachmodelle. Es wird von Entwicklern und Unternehmen eingesetzt, um KI‑gestützte Prozesse zu automatisieren und zu visualisieren.
Details zu den Schwachstellen
Die Analyse des CERT‑Bund zeigt, dass die betroffenen Komponenten es einem Angreifer ermöglichen, über eine authentifizierte Verbindung Befehle einzuschleusen. Dabei können sowohl serverseitige Skripte als auch Datenbankabfragen manipuliert werden.
Mögliche Auswirkungen
Durch die Ausnutzung kann ein Angreifer beliebigen Code auf dem betroffenen System ausführen, was zu einer vollständigen Kontrolle über die Anwendung führen kann. Zusätzlich können Objekte anderer Benutzer übernommen und vertrauliche Daten eingesehen werden. Weitere, nicht näher genannte Effekte sind ebenfalls möglich.
Empfohlene MaĂźnahmen
Betreiber von Flowise sollten unverzüglich prüfen, ob die in der Advisory genannten Versionen eingesetzt werden, und die vom Hersteller bereitgestellten Sicherheitspatches installieren. Wo ein Update nicht sofort möglich ist, empfiehlt das CERT‑Bund, den Netzwerkzugriff auf die betroffenen Dienste zu beschränken und Authentifizierungsmechanismen zu verstärken.
Weitere Informationen
Das vollständige Advisory ist auf der Website des CERT‑Bund unter der Kennung WID‑SEC‑2026‑1554 einsehbar. Dort finden Betreiber detaillierte Anweisungen zur Identifikation betroffener Systeme und zur Umsetzung der Gegenmaßnahmen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Ăśbertragung