CVE-2026-40933
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. 3.1.0 versiyasından əvvəl, MCP adapterində stdio əmrlərinin təhlükəsiz olmayan seriyallaşdırılması səbəbindən autentifikasiya olunmuş hücumçu ixtiyari əmr ilə MCP stdio serveri əlavə edərək əmrin icrasını həyata keçirə bilər. Zəiflik http://localhost:3000/canvas ünvanındakı “Custom MCP” konfiqurasiyasının giriş təmizlənməsindəki xətadadır - burada hər hansı istifadəçi yeni bir MCP əlavə edə bilər; stdio vasitəsilə yeni MCP əlavə edərkən, kodda validateCommandInjection və validateArgsForLocalFileAccess kimi giriş təmizləmə yoxlamaları və əvvəlcədən müəyyən edilmiş təhlükəsiz əmrlər siyahısı olsa belə, istifadəçi hər hansı əmri əlavə edə bilər. Məsələn, "npx" kimi bu əmrlər, alt OS-də birbaşa kodun icrasını təmin edən kod icrası arqumentləri ilə ("-c touch /tmp/pwn") birləşdirilə bilər. Bu zəiflik 3.1.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- flowiseai flowise3.1.0 və ya daha yeni versiya
- flowise3.1.0 və ya daha yeni versiya
- flowise-components3.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.0 | 3.1.0 |
| flowisenpm | v < 3.1.0 | 3.1.0 |
| flowise-componentsnpm | v < 3.1.0 | 3.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.