CVE-2025-71336: Kritisk RCE-fejl i Flowise Custom MCP
Kritisk sårbarhed i Flowise lader angribere køre systemkommandoer uden login. Opdatér til version 3.0.6 eller nyere.
Hvad er det?
Flowise er en lavkodeplatform, hvor virksomheder bygger AI-agenter og automatiseringer ved at trække byggeklodser sammen i en grafisk editor. Sårbarheden (CVE-2025-71336) findes i funktionen Custom MCP, som er lavet til at starte lokale MCP-servere, en protokol der kobler AI-modeller til eksterne værktøjer og systemer. Fejlen er en kommandoinjektion (CWE-78): koden sender brugerens input direkte videre til styresystemet uden at rense det. En angriber kan sende en forberedt forespørgsel med headeren ‘x-request-from: internal’ til endepunktet /api/v1/node-load-method/customMCP og få serveren til at udføre valgfrie systemkommandoer, helt uden om Flowises indbyggede rettighedsstyring.
Hvem rammer det?
Alle installationer af Flowise før version 3.0.6, herunder alle udgivelser op til og med 2.2.7-patch.1, er berørt. Risikoen er størst for installationer, hvor de miljøvariabler FLOWISE_USERNAME og FLOWISE_PASSWORD ikke er sat, fordi Flowise som standard kører helt uden login. Det gælder typisk virksomheder, der har sat Flowise op internt eller i en testmiljø og glemt at aktivere adgangskontrol, samt selvhostede installationer eksponeret mod internettet, for eksempel via en offentlig server eller container.
Hvad kan ske?
En angriber kan overtage serveren eller containeren, hvor Flowise kører, med samme rettigheder som selve programmet. Det giver adgang til alle data, API-nøgler og hemmeligheder, som er gemt i Flowise-installationen, herunder forbindelser til andre systemer og AI-tjenester. Fra den kompromitterede server kan angriberen ofte bevæge sig videre i virksomhedens netværk, installere skadelig kode eller kryptere data til afpresning.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Fortrolighed, integritet og tilgængelighed er alle vurderet som fuldt påvirket, fordi angriberen får fuld kontrol over serveren. Der er på offentliggørelsestidspunktet ikke rapporteret om kendt udnyttelse i praksis, men den lave angrebskompleksitet og manglen på krav om login gør sårbarheden attraktiv at afprøve for automatiserede angreb.
Hvad gør jeg nu?
Følgende punkter lukker hullet og reducerer risikoen, mens I opdaterer.
- Opdatér Flowise til version 3.0.6 eller nyere. Det er den eneste løsning, der fjerner selve fejlen.
- Sæt miljøvariablerne FLOWISE_USERNAME og FLOWISE_PASSWORD, hvis I ikke allerede har login aktiveret, så installationen ikke står helt åben.
- Fjern eller begræns adgang til Flowise fra internettet, indtil opdateringen er gennemført, for eksempel via firewall eller VPN.
- Gennemgå logfiler for forespørgsler til /api/v1/node-load-method/customMCP og for headeren ‘x-request-from: internal’, som kan afsløre forsøg på udnyttelse.
- Roter API-nøgler og hemmeligheder, der er gemt i Flowise, hvis I finder tegn på uautoriseret adgang.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I finder spor af indbrud, eller hvis I ikke selv kan verificere, at installationen er lukket korrekt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Flowise til version 3.0.6 eller nyere hurtigst muligt, da sårbarheden kan udnyttes uden login og giver fuld kontrol over serveren. Er installationen eksponeret mod internettet uden adgangskontrol, bør I lukke den eksternt adgang, til opdateringen er på plads. Det er kun forsvarligt at afvente en almindelig opdateringsplan, hvis Flowise kører fuldstændig isoleret internt med login aktiveret og ingen adgang udefra.
Tidslinje
Konkrete eksempler
Intern AI-automatisering uden login
En dansk virksomhed har sat Flowise op på en intern server for at bygge en kundeservicebot, men har ikke aktiveret login, fordi det kun var tænkt som et internt testmiljø. Serveren er dog tilgængelig via en offentlig IP-adresse på grund af en fejlkonfigureret firewall. En angriber finder installationen, sender en forberedt forespørgsel til Custom MCP-funktionen og får fuld kontrol over serveren, hvorfra virksomhedens interne netværk kan angribes videre.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores Flowise-installation er ramt?
Tjek versionsnummeret i jeres Flowise-installation. Alle versioner før 3.0.6, inklusive 2.2.7-patch.1 og ældre, er berørt. Se også, om FLOWISE_USERNAME og FLOWISE_PASSWORD er sat, da installationer uden login er mest udsatte.
Kan vi vente med opdateringen til efter weekenden?
Det afhænger af, om installationen er tilgængelig fra internettet. Er den eksponeret uden login, bør I lukke adgangen udefra nu og gennemføre opdateringen så hurtigt som muligt. Kører installationen fuldt isoleret internt med login aktiveret, kan I planlægge opdateringen inden for få dage.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendt udnyttelse på offentliggørelsestidspunktet. Den lave angrebskompleksitet og fraværet af krav om login betyder dog, at sårbarheden hurtigt kan blive et mål for automatiserede angreb.
Skal vi anmelde dette til Datatilsynet eller andre myndigheder?
Kun hvis I finder tegn på, at der faktisk er sket uautoriseret adgang til personoplysninger. Ren tilstedeværelse af sårbarheden, uden tegn på misbrug, udløser ikke i sig selv en anmeldelsespligt.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Sørg for, at Flowise ikke er tilgængelig fra internettet, og at FLOWISE_USERNAME og FLOWISE_PASSWORD er sat. Begræns adgang til betroede IP-adresser eller via VPN, indtil I kan gennemføre opdateringen til version 3.0.6 eller nyere.
Rammer sårbarheden også skybaserede eller hostede Flowise-løsninger?
Det afhænger af, hvem der driver installationen. Selvhostede installationer og containere, I selv har sat op, er jeres eget ansvar at opdatere. Brug altid den nyeste supporterede version, uanset hvor Flowise kører.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Flowise before 3.0.6 (affected versions 2.2.7-patch.1 and earlier) contains an unsandboxed remote code execution vulnerability in the Custom MCP feature, which is designed to execute OS commands such as launching local MCP servers. Because Flowise’s authentication and authorization model is minimal and lacks role-based access control, and the default installation runs without authentication unless FLOWISE_USERNAME and FLOWISE_PASSWORD are set, an attacker can send a crafted JSON payload with the header ‘x-request-from: internal’ to the /api/v1/node-load-method/customMCP endpoint to execute arbitrary OS commands, resulting in complete compromise of the platform container or server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.