AIDEFEND in Action AIA-0106 實際事件發布於 AIA: 2026年10月26日

Flowise CustomMCP：設定文字被當成伺服器程式執行

Flowise 用來建置 AI 工作流程，並透過 MCP 連接外部工具。CVE-2025-59528 讓可存取 CustomMCP 設定處理器的呼叫者，藉由 Node.js 的 Function 建構函式執行傳入文字。SonicWall 在 2026 年報告了漏洞利用活動。Flowise 3.0.6 已把這條路徑改為資料解析；限制提示詞無法修好伺服器端的設定處理。

Remote Code ExecutionSupply Chain DefenseIdentity & AccessMCP SecurityAgentic AI

3 項對應的 AIDEFEND 防禦手法

來源: FlowiseAI Custom MCP Node Remote Code Execution

作者: Security News / SonicWall Capture Labs

原文發布: 2026年2月6日

威脅分析

設定資料越界成為可執行程式：請求提供 MCP 設定文字，字串處理後流入 Function，因而取得服務程序的 JavaScript 能力。這是應用程式的程式碼執行問題，不是說服模型的問題。
必須保留存取條件：不同部署的網路暴露與身分驗證可能不同。原始帶有授權的重現測試，與後續漏洞利用報告，不能合併成所有安裝均可未登入利用的結論。
關鍵在改用資料解析器：修補後程式只把欄位當成資料處理。增加提示詞規則，或把同一個動態執行器放進較弱的沙箱，都沒有移除錯誤的信任轉換。

適用的 3 項 AIDEFEND 防禦手法

AID-H-003.010

Deployed AI Software Vulnerability Remediation Lifecycle

極高

將受影響 Flowise 更新到 3.0.6 或受支援的更新修補版，確認執行中的 node-load-method 處理器已替換。關鍵修補是以 JSON5 解析設定，不再使用 Function 執行。應在隔離環境確認惡意設定文字無法產生程序或檔案副作用，同時合法 MCP 設定仍可使用；每個工作程序與入口路由都要涵蓋。

AID-H-004.002

Service & API Authentication

高

在受管理部署中，讓 Flowise 管理與 node-load-method 路由通過工作負載 OIDC 閘道，驗證簽章、發行方、受眾、有效期限及必要範圍，並禁止繞過驗證直接存取後端。只有檢查確實生效時，才能阻擋未登入的網際網路呼叫者。原公告的重現請求使用 Bearer 授權，因此惡意合法呼叫者仍須靠修補程式碼執行缺陷來處理，不能把所有受影響安裝都說成無須登入即可利用。

AID-I-001.002

MicroVM & Low-Level Sandboxing

高

Flowise 管理者可將整個有漏洞的 Node.js 服務放進 microVM 或使用者空間核心沙箱，隔離由服務之外的系統執行，只提供必要資料掛載，不提供主機 Docker socket 或管理憑證。確認實際使用的執行環境，並禁止失敗時退回一般容器。這能限制 Function 執行造成的主機影響；刻意交給隔離環境的資料與憑證仍可能遭讀取。部署必須相容，也仍須完成 JSON5 解析器修補。

身為資安防禦者，我們應該這麼做

更新所有受影響 Flowise 部署，確認實際生效的處理器，包含舊容器與其他工作程序。
將管理與設定路由限制給已授權管理者，並確認不能從公開原站繞過。這能在驗證修補部署期間減少可達入口。
在非正式環境測試合法設定及可執行文字。檢查程序與檔案副作用，不能只看到 HTTP 錯誤就判定沒有程式碼執行。
部署並驗證 microVM 或使用者空間核心沙箱，在解析器修補期間限制主機影響；刻意掛載到隔離環境內的秘密值，仍可能暴露。

結論

AIDEFEND 將本案對應到相依套件修補驗證與服務存取限制。最重要的工程改變很具體：MCP 設定只作為資料解析，能存取處理器不等於可以執行任意伺服器程式。

最後更新: 2026年10月26日