FlowiseAI/Flowise possui uma vulnerabilidade de Server-Side Request Forgery (SSRF)

A vulnerabilidade SSRF em Flowise permite que um atacante explore a rede interna através do servidor Flowise. Ao explorar essa falha, um invasor pode enviar requisições HTTP para qualquer URL que o servidor Flowise possa acessar, potencialmente expondo serviços internos que não deveriam ser acessíveis externamente. Isso inclui a descoberta e acesso a endpoints administrativos sensíveis, coleta de informações sobre a infraestrutura interna e, em alguns casos, a execução de ações em nome do servidor Flowise. A exploração bem-sucedida pode levar à divulgação de dados confidenciais e comprometimento da segurança da rede interna. A capacidade de explorar essa vulnerabilidade depende da configuração da rede e dos serviços internos expostos.

Organizations deploying Flowise in environments with internal web services or APIs are at risk. Shared hosting environments where Flowise instances share the same network infrastructure are particularly vulnerable, as an attacker could potentially pivot from a compromised Flowise instance to other internal services. Legacy Flowise configurations that haven't been regularly updated are also at increased risk.

• nodejs: Monitor process execution for unusual outbound network connections originating from the Flowise process. Use ps aux | grep flowise to identify the process and then netstat -anp | grep <flowise_pid> to check connections. • generic web: Examine access logs for requests to /api/v1/fetch-links with unusual or internal IP addresses in the URL. Use grep '/api/v1/fetch-links' access.log | grep <internal_ip>. • generic web: Check response headers for signs of internal resource exposure. Look for headers that reveal internal server information or redirect to internal services.

1. 2025-09-15Disclosure

   disclosure

1. Reservado2025-09-17
2. Publicada2025-09-15
3. Modificada2025-09-22
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-59527 é atualizar para a versão 3.0.6 do Flowise, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar regras de firewall para restringir o acesso à rede interna a partir do servidor Flowise. Além disso, configure o servidor Flowise para utilizar uma lista de permissões (whitelist) de domínios permitidos para a função fetch-links, impedindo que ele faça requisições para URLs não autorizadas. Monitore os logs do servidor Flowise em busca de atividades suspeitas, como requisições para URLs internas inesperadas. Após a atualização, confirme a correção verificando se o endpoint /api/v1/fetch-links não permite mais requisições para URLs internas não autorizadas.