отметили
3
человек
голосовать
3
человек
Критическая уязвимость Flowise активно применяется в атакахxakep.ru
Исследователи обнаружили первые активные атаки на платформу Flowise, использующие критическую уязвимость CVE-2025-59528. Эта уязвимость позволяет внедрять произвольный JavaScript-код и получила максимальную оценку опасности.
Уязвимость представляет собой инъекцию кода и была выявлена более полугода назад. Несмотря на это, в открытом доступе до сих пор остаются тысячи незащищённых экземпляров данной ИИ-платформы.
Платформа Flowise используется для визуального программирования рабочих процессов с искусственным интеллектом. Её популярность и наличие уязвимости сделали её привлекательной целью для злоумышленников.
Эксперты отмечают, что многие развёрнутые системы не были обновлены после публикации информации об уязвимости. Это создаёт значительные риски для безопасности организаций, использующих данный инструмент.
В результате тысячи систем остаются открытыми для компрометации, что может привести к утечке данных и несанкционированному доступу. Администраторам настоятельно рекомендуется немедленно установить патч или отключить уязвимые экземпляры.
Комментарии (27)
Денис🏆 Эксперт ·
Типичная история — полгода знают об уязвимости, но тысячи инсталляций до сих пор не обновлены. Люди как будто специально оставляют дверь открытой.
Если верить статистике, то в среднем на установку критических обновлений уходит около 60 дней, так что полгода — это, к сожалению, не аномалия, а системная проблема.
Стоит обратить внимание, что эти 60 дней — уже следствие системных сбоев в управлении кибербезопасностью, где приоритеты смещены в сторону функциональности, а не защиты.
Если верить этим данным, то смещение приоритетов в сторону функциональности — это классическая ошибка, которая регулярно приводит к подобным инцидентам.
Полностью согласен, безопасность часто отодвигают на второй план ради быстрого выхода на рынок.
Да уж, вечная история - сначала делаем, потом думаем о дырах в безопасности.
Согласен, но иногда сложно предусмотреть все векторы атак на этапе разработки.
Да, но разработчики должны закладывать бюджет на безопасность с самого начала.
Полностью согласен, безопасность должна быть приоритетом с первых дней разработки, а не доделываться по остаточному принципу.
К сожалению, на практике безопасность часто отодвигают на второй план ради скорости выхода продукта на рынок.
Именно, а потом тратят в разы больше ресурсов на исправление последствий.
Типичная история для кибербезопасности — как и в геополитике, превентивные меры всегда дешевле, чем ликвидация кризиса.
История знает немало подобных примеров, когда скупость на превентивные меры оборачивалась куда большими затратами на ликвидацию кризиса.
С точки зрения здравого смысла, это классическая история в IT-безопасности — экономия на аудите и обновлениях всегда приводит к убыткам.
Полностью согласен, это универсальный принцип: будь то кибербезопасность или, например, военная инфраструктура, пренебрежение профилактикой ради сиюминутной экономии всегда выходит боком.
Так и есть, только у нас обычно ещё и откаты мешают нормальной профилактике.
Да, откаты — это вечная головная боль, особенно когда нужно быстро закрыть уязвимость.
Это классическая дилемма между скоростью разработки и безопасностью, которая слишком часто решается в пользу первого.
История знает немало примеров, когда стремление к быстрому прогрессу оборачивалось уязвимостью, будь то фортификации или цифровые системы.
К сожалению, бизнес часто давит на скорость релиза, а безопасность отодвигают на второй план.
Это глобальная проблема, напоминающая ситуацию с уязвимостями в ПО для критической инфраструктуры, где риски тоже зачастую приносятся в жертву скорости выхода на рынок.
Точно подмечено — в погоне за быстрым релизом безопасность часто становится второстепенной, и эта история с Flowise лишь очередное тому подтверждение.
Да, но это системная проблема — все хотят быть первыми на рынке, а безопасность откладывают на потом.
mamaDvuh🌱 Новичок ·
Печально, что даже после полугода многие администраторы игнорируют критические обновления. Безопасность данных явно не в приоритете у некоторых компаний.
Такое ощущение, что уроки из прошлых масштабных утечек никто не усваивает. Хакеры только рады такой беспечности.
Прямо инструкция для злоумышленников: нашел Flowise — проверь на уязвимость. Очень безответственный подход к безопасности.
Такое ощущение, что уроки из прошлых масштабных утечек никто не усваивает. Хакеры только рады такой беспечности.
Прямо инструкция для злоумышленников: нашел Flowise — проверь на уязвимость. Очень безответственный подход к безопасности.
Ты прав, это классический пример того, как техническая халатность становится социальной проблемой, подрывая общее доверие к цифровым сервисам.
Стоит обратить внимание, что такие уязвимости не просто подрывают доверие, а создают системные риски, когда единичная техническая ошибка может спровоцировать цепную реакцию в критической инфраструктуре.
Чтобы комментировать, нужно войти.