30秒で判断
- 対応すべき人: 2025年8月のアップデート以前にFlowise Cloudの無料プランを利用していた方
- 対応不要な人: Flowiseをセルフホストで運用している方、Flowise Cloudを利用していない方、2025年8月以降にFlowise Cloudの利用を開始した方
- 確認コマンド: Flowise Cloudの利用履歴とCustom JavaScript Functionノードの利用有無を確認
概要
CVE-2025-59434 は、ドラッグ&ドロップでLLMワークフローを構築できるツールFlowiseの、クラウドホスト版（Flowise Cloud）に存在した脆弱性です。
Flowise Cloudの無料プランを利用する認証済みユーザーであれば、Custom JavaScript Functionノードを通じて、本来アクセスできないはずの他テナントの環境変数を読み取れてしまう不備がありました。この環境変数には、OpenAI APIキー、AWS認証情報、Supabaseトークン、Google Cloudのシークレットなど、機密性の高い情報が含まれる可能性があり、テナントをまたいだ情報漏洩につながるものでした。本脆弱性はセルフホスト版のFlowiseには影響しません。
本脆弱性は2025年8月のクラウド版アップデートで既に修正されています。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.6（Critical） |
| 認証 | 必要（Flowise Cloud無料プランのアカウント） |
| 攻撃元 | ネットワーク経由（Flowise Cloud上のCustom JavaScript Functionノード） |
| 影響 | 他テナントの環境変数・シークレットの読み取り（機密性侵害） |
影響を受けるソフトウェア
| 製品 | ベンダー | 備考 |
|---|---|---|
| Flowise Cloud | FlowiseAI | 2025年8月のアップデート以前の無料プラン |
セルフホスト版のFlowiseは本脆弱性の対象外です。
修正バージョンと回避策
- 本脆弱性は既にベンダー側（Flowise Cloud）で修正済みです。ユーザー側での更新作業は不要です。
- 該当期間にFlowise Cloudの無料プランを利用していた場合は、Workflow内で使用していたOpenAI APIキー、AWS認証情報、Supabaseトークン、Google Cloudのシークレットなどのローテーションを検討してください。
- Custom JavaScript Functionノードで機密情報を直接扱っていた場合は、利用履歴を確認し、不審なアクセスがなかったか点検することを推奨します。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。