Node-RED存在未授权远程命令执行漏洞。由于Node-RED应用程序未强制执行任何类型的身份验证，因此可以未授权公开访问，攻击者通过组合特定的Flows以在目标系统上执行任意命令。此外，未授权滥用其他Node还可实现SSRF、本地文件包含、信息泄漏等攻击。

对接口添加授权验证，请关注厂商进行更新：https://nodered.org/