CVE-2024-36423
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Flowise-ın 1.4.3 versiyasında `/api/v1/public-chatflows/id` son nöqtəsində əks olunmuş saytlararası skriptinq (reflected XSS) zəifliyi mövcuddur. Əgər standart konfiqurasiyadan (autentifikasiyasız) istifadə edilirsə, hücumçu istifadəçi sessiyalarına Javascript inyeksiya edən xüsusi hazırlanmış URL yarada bilər ki, bu da hücumçuya məlumatları oğurlamağa, saxta pencerələr yaratmağa və ya hətta istifadəçini qarşılıqlı əlaqə olmadan digər veb saytlara yönləndirməyə imkan verir. Chatflow ID tapılmadıqda, onun dəyəri `text/html` tipində olan 404 səhifəsində əks olunur. Bu, hücumçuya səhifəyə ixtiyari skriptlər əlavə etməyə və nəticədə həssas məlumatları oğurlamağa imkan verir. Bu XSS, Flowise-a birbaşa girişi olmayan hücumçunun Flowise serverindən ixtiyari faylları oxumasına şərait yaratmaq üçün yol inyeksiyası (path injection) ilə birləşdirilə bilər. Nəşr edildiyi vaxt etibarilə heç bir məlum yamaq mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v ≤ 1.4.3 | — |
| flowisenpm | v ≤ 1.4.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.