CVE-2026-30821

Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.0.13-dən əvvəl `/api/v1/attachments/:chatflowId/:chatId` son nöqtəsi (endpoint) WHITELIST_URLS siyahısına daxil edilmişdi ki, bu da fayl yükləmə API-na autentifikasiyasız girişi mümkün edirdi. Server yükləmələri `chatbotConfig.fullFileUpload.allowedUploadFileTypes`-da təyin edilmiş MIME tipləri əsasında yoxlasa da, faylın faktiki məzmununu (magic bytes) və ya genişlənməsini (`file.originalname`) təsdiqləmədən klient tərəfindən təqdim edilən Content-Type başlığına (`file.mimetype`) implicit şəkildə etibar edir. Nəticədə, hücumçu zərərli skriptləri və ya ixtiyari faylları yükləyərkən Content-Type-ı icazə verilmiş tip kimi (məsələn, application/pdf) saxtalaşdıraraq bu məhdudiyyətdən yan keçə bilər. `addArrayFilesToStorage` vasitəsilə yükləndikdən sonra bu fayllar backend yaddaşında (S3, GCS və ya lokal disk) qalır. Bu zəiflik kritik giriş nöqtəsi rolunu oynayır və statik hostinq və ya faylların əldə edilməsi kimi digər funksiyalarla birləşdirildikdə Stored XSS, zərərli faylların hostinqi və ya uzaqdan kodun icrasına (RCE) səbəb ola bilər. Bu problem versiya 3.0.13-də aradan qaldırılmışdır.