CVE-2024-58351

2.1.4 versiyasından əvvəlki Flowise, həm frontend veb inteqrasiyasında, həm də backend Prediction API-da dəstəklənən overrideConfig seçimi vasitəsilə icra zamanı konfiqurasiyanın Chainflow-a inyeksiya edilməsinə şərait yaradır. Bu funksiya standart olaraq aktiv olduğu, icazə verilmiş dəyişənlərin ağ siyahısı olmadığı və qum qutusu (sandboxing) üçün vm2-dən istifadə etdiyi üçün hücumçu bundan uzaqdan kodun icrasına və qum qutusundan çıxmağa, serveri sıradan çıxarmaqla xidmətdən imtinaya, server tərəfli sorğu saxtakarlığına (SSRF), prompt inyeksiyasına, eləcə də server dəyişənlərinin və məlumatlarının sızdırılmasına nail olmaq üçün istifadə edə bilər. Bu problemlər yalnız hədəf sistemə yönəlib və digər istifadəçilərdə qalıcı təsir göstərmir.