CVE-2025-71338 — FlowiseのパストラバーサルによるRCE CVE-2025-71338：影響範囲と対応方法 | つみかさね

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Flowise	FlowiseAI	<= 2.2.7

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

1Flowise のバージョンと外部からの到達性（公開範囲）を確認する
2flowise@2.2.7-patch.1 以降へアップデートする
3更新が困難な場合は認証・ネットワーク制限で document-store エンドポイントへの到達を遮断する

影響対象

Flowise 運用者LLMアプリを内製・公開している開発チーム

対応不要な人

✓Flowise を使用していない
✓2.2.7-patch.1 以降へ更新済み
✓外部から到達不能な閉域でのみ利用している

補足

-インターネットに公開している環境は緊急度が高い

30秒で判断

対応すべき人: Flowise（LLMアプリ構築ツール）を 2.2.7 以前で運用している方、特に外部からアクセスできる形で公開している方
対応不要な人: Flowise を使用していない、修正版（2.2.7-patch.1 以降）へ更新済み、外部から到達不能な閉域でのみ利用している方
確認コマンド: Flowise のバージョンとネットワーク到達性（公開範囲）を確認
クイックアクション: 2.2.7-patch.1 以降へアップデート

概要

Flowise 2.2.7 以前の document-store ローダーのエンドポイントは、パスセグメントを適切にサニタイズしないため、認証されていない攻撃者がストレージディレクトリの外にファイルを書き込むことができます（CWE-73: 外部からのファイルパス制御）。親ディレクトリを遡る手法でストレージ領域を脱出し、起動時に読み込まれるアプリケーションファイルを上書きすることで、リモートコード実行につながる可能性があります。

CVSSスコアは最大値の 10.0（Critical） で、認証不要かつリモートから悪用可能なため、公開環境では特に深刻です。

CVSSベクトル

項目	値
CVSSスコア	10.0
深刻度	Critical
CWE	CWE-73（外部からのファイルパス制御）
認証	不要

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Flowise	FlowiseAI	2.2.7 以前

修正バージョンと回避策

flowise@2.2.7-patch.1 以降へアップデートしてください。すぐに更新できない場合は、Flowise を認証・ネットワークで保護し、外部からdocument-store関連エンドポイントへ到達できないようにすることを優先してください。

関連リンク

ソース	URL
NVD	https://nvd.nist.gov/vuln/detail/CVE-2025-71338
GitHub Advisory	https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-8vvx-qvq9-5948
Release	https://github.com/FlowiseAI/Flowise/releases/tag/flowise%402.2.7-patch.1

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-71338

GitHub Advisory:https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-8vvx-qvq9-5948

Release:https://github.com/FlowiseAI/Flowise/releases/tag/flowise%402.2.7-patch.1