30秒で判断
対応すべき人:
- Flowise 3.1.3 より前を使用している
- かつ OAuth連携の認証情報（credential）を保存している / Flowiseを外部からアクセス可能な場所に公開している
対応不要な人:
- Flowise 3.1.3 以降へアップグレード済み
- Flowise を使用していない
確認コマンド:
# Flowise のバージョン確認
docker inspect flowiseai/flowise --format '{{.Config.Image}}'
npm list flowise 2>/dev/null
概要
Flowise は、ドラッグ&ドロップでLLMフローを構築できるUIツールです。3.1.3 より前のバージョンでは、POST /api/v1/oauth2-credential/refresh/:credentialId エンドポイントが WHITELIST_URLS に含まれており、認証を一切要求しません（CWE-200 情報漏えい）。
このエンドポイントは、保存済みの認証情報を復号し、設定されたOAuthプロバイダへクライアントシークレットとリフレッシュトークンを用いてリフレッシュ要求を送信し、更新後の access_token を応答本文で返します。認証情報IDを知る攻撃者は、返却されたトークンで 被害者の連携サービスへアクセス できるほか、リフレッシュトークンのクォータを枯渇させることも可能です。認証不要・ネットワーク経由で悪用でき、CVSS は 10.0 と最大級に評価されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 10.0（Critical） |
| CWE | CWE-200（情報漏えい） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | なし (N) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Flowise | 3.1.3 より前 |
修正バージョンと回避策
修正バージョン: Flowise 3.1.3
3.1.3 以降へアップデートしてください。即時のアップデートが難しい場合は、Flowise を認証付きリバースプロキシの背後に置き、外部からの直接アクセスを遮断することを推奨します。影響を受けた期間に保存していたOAuth認証情報のローテーションも検討してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。