Flowise および Flowise Chat Embed に Stored Cross-Site Scripting の脆弱性があります

このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、機密情報の窃取（Cookie、セッション情報など）、ユーザーを悪意のあるWebサイトにリダイレクト、またはWebサイトの見た目を改ざんすることが可能になります。特に、Flowise Chat Embedを公開されている環境で使用している場合、広範囲なユーザーが影響を受ける可能性があります。攻撃者は、ユーザーがFlowise Chat Embedとやり取りする際に、悪意のあるスクリプトを注入し、そのスクリプトが実行されることで、ユーザーの情報を盗み出す、またはシステムを制御する可能性があります。

Websites and applications that integrate Flowise Chat Embed versions prior to 2.0.0 are at risk. This includes developers who have directly included the package in their projects, as well as users of platforms or services that utilize Flowise Chat Embed without proper security controls. Shared hosting environments where multiple websites share the same server infrastructure are particularly vulnerable, as a compromise of one website could potentially affect others.

• nodejs / supply-chain:

  npm list flowise-embed

If the version is less than 2.1.1, the system is vulnerable. • generic web: Inspect the Flowise Chat Embed integration for any unusual JavaScript behavior or unexpected redirects. Examine the source code for any user-controlled input that is not properly sanitized before being rendered. • generic web: Review access logs for suspicious requests containing JavaScript payloads targeting the chat embed functionality.

1. 2024-09-25Disclosure

   disclosure

1. 予約済み2024-09-24
2. 公開日2024-09-25
3. 更新日2024-09-30
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、flowise-embedをバージョン2.0.0以降にアップデートすることです。アップデートが困難な場合は、入力値のサニタイズ処理を実装するか、Web Application Firewall (WAF) を導入して、悪意のあるスクリプトの実行をブロックすることを検討してください。また、Flowise Chat Embedを使用しているWebアプリケーションのアクセス制御を強化し、不正なアクセスを防止することも重要です。アップデート後、Flowise Chat Embedの動作を確認し、XSS攻撃が発生していないことを確認してください。