piflow: Unauthentifizierte Remote Code Execution über Chat-Agent

Zusammenfassung

piflow in den Versionen 2.0.0 bis 2.0.1 stellt die Endpunkte POST /chat und POST /chat/stream des DeepAgents-Chat-Agenten ohne Authentifizierung bereit. Ein Angreifer mit Netzwerkzugriff auf den Dienst kann den Agenten anweisen, das Tool exec_shell aufzurufen, das beliebige Betriebssystembefehle ohne menschliche Freigabe ausführt. Dabei können Umgebungsgeheimnisse wie LLM-API-Schlüssel und Datenbank-Zugangsdaten offengelegt werden.

Betroffen

• cas-bigdatalab piflow 2.0.0 bis 2.0.1
• Standardkonfiguration gemäss CNA-Eintrag nicht betroffen (betroffener Bereich laut VulnCheck)

Behoben in

Unbekannt. Bis 31. Oktober 2026 wurde keine Sicherheitsmitteilung des Herstellers und keine korrigierte Version gefunden.

Umgehung

• piflow vom Internet trennen oder den Zugriff auf vertrauenswürdige Netzwerke beschränken.
• Einen authentifizierenden Reverse Proxy oder Firewall-Regeln vor die Anwendung setzen, sodass die Chat-Endpunkte eine Authentifizierung verlangen.
• Das Tool exec_shell im Chat-Agenten deaktivieren oder entfernen (Aufgabe für Entwickler).

Ausnutzung

• CISA SSVC: Exploitation-Status "poc", automatisierbar: ja, technische Auswirkung: total.
• Öffentliche Beschreibungen von VulnCheck und Lasso Security sind vorhanden.
• Aktive Ausnutzung in freier Wildbahn: nicht gefunden.
• CVSS v4.0-Basiswert 9.3 (CVE-Eintrag); einige Quellen nennen CVSS 3.1 mit 9.8.

Unsere Empfehlung

• Alle piflow-Instanzen der Versionen 2.0.0 bis 2.0.1 ermitteln und prüfen, ob sie aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind.
• Zugriff auf die Chat-Endpunkte sofort sperren oder eine Authentifizierung verlangen.
• LLM-API-Schlüssel, Datenbank-Zugangsdaten und weitere Geheimnisse, die dem piflow-Prozess zur Verfügung stehen, rotieren.
• Webserver-Logs auf POST-Anfragen an /chat und /chat/stream aus unbekannten Quellen prüfen.
• Das Herstellerrepository beobachten und nach Verfügbarkeit einer Korrektur zeitnah aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-109442 VulnCheck advisory www.vulncheck.com
• Lasso Security vulnerability database entry www.lasso.security
• VulDB CVE-2026-109442 vuldb.com
• piflow tools.py at vulnerable commit github.com
• piflow server.py at vulnerable commit github.com
• Hol.org CVE-2026-109442 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:12.