CVE-2025-34267
Təsvir
Flowise v3.0.1 < 3.0.8 və 'ALLOW_BUILTIN_DEP' aktiv edilmiş bütün sonrakı versiyalarda, nodevm icra mühiti daxilində inteqrasiya olunmuş modulların (Puppeteer və Playwright) təhlükəsiz olmayan istifadəsi səbəbindən autentifikasiya olunmuş uzaqdan kodun icrası və node VM sandbox-dan çıxış zəifliyi mövcuddur. Puppeteer/Playwright-dan istifadə edən alət yarada və ya işlədə bilən autentifikasiya olunmuş hücumçu, öz nəzarətində olan brauzer binary yollarını və parametrlərini təyin edə bilər. Alət icra olunduqda, hücumçunun nəzarət etdiyi icra faylı/parametrləri host sistemində işə düşür və nəzərdə tutulmuş nodevm sandbox məhdudiyyətlərini yan keçərək host kontekstində ixtiyari kodun icrasına səbəb olur. Bu zəiflik tərtibatçılar tərəfindən yanlışlıqla CVE-2025-26319 ilə dublikat kimi təyin edilmişdir və həmin identifikatorla fərqli hesab edilməlidir.
Necə düzəltmək olar
- flowiseai flowise3.0.8 və ya daha yeni versiya
- flowise3.0.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | 3.0.1 ≤ v < 3.0.8 | 3.0.8 |
| flowisenpm | 3.0.1 ≤ v < 3.0.8 | 3.0.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.