CVE-2025-59434
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. 2025-ci ilin avqust ayına qədər Cloud-Hosted Flowise versiyasında olan autentifikasiya olunmuş zəiflik, Flowise Cloud-dakı pulsuz planlı hər hansı istifadəçiyə Custom JavaScript Function düyünü vasitəsilə digər tenant-ların həssas mühit dəyişənlərinə giriş imkanı verir. Bura OpenAI API açarları, AWS etibarnamələri, Supabase tokenləri və Google Cloud gizli məlumatları kimi sirlər daxildir ki, bu da tam miqyaslı cross-tenant məlumat sızmasına səbəb olur. Bu problem 2025-ci ilin avqust ayı Cloud-Hosted Flowise versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FlowiseAI Flowise | < cloud-hosted (as of Aug 2025) | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.