piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
piflow 2.0.0 から 2.0.1 のチャット機能(DeepAgents)に、認証なしで外部から任意のコマンドを実行されてしまう弱点が見つかりました。チャット用の入口が公開されている環境では、LLM の API キーやデータベースの認証情報が盗まれるおそれがあります。修正版の有無は現時点で明らかになっていないため、まず利用有無と公開範囲を確認し、入口へのアクセスを制限してください。
Description d'origine La description telle que publiée par la source (souvent en anglais).
piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat agent, whose POST /chat and POST /chat/stream endpoints lack authentication. Attackers can instruct the agent to call the exec_shell tool, which runs arbitrary commands via subprocess.run without human approval or an allow-list, exposing environment secrets such as LLM API keys and database credentials.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Références
- web github.com
- web github.com
- web lasso.security
- web vulncheck.com
- web nvd.nist.gov
- web github.com