CVE-2026-42863
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.1.2-dən əvvəl FlowiseAI-nın chatflow yeniləmə son nöqtəsində (endpoint) kütləvi təyin etmə (mass assignment) zəifliyi mövcuddur. Son nöqtə müştərilərə chatflow obyektini yeniləyərkən deployed, isPublic, workspaceId, createdDate və updatedDate kimi server tərəfindən idarə olunan xüsusiyyətləri dəyişməyə imkan verir. Server tərəfli validasiyanın və avtorizasiya yoxlamalarının çatışmazlığı səbəbindən autentifikasiya olunmuş istifadəçi chatflow-un daxili atributlarını manipulyasiya edə və onu başqa bir iş sahəsinə (workspace) təyin edə bilər. Bu, iş sahələri arasında resursların yenidən təyin edilməsinə və yerləşdirmə (deployment) və görünürlük parametrlərinin icazəsiz dəyişdirilməsinə şərait yaradır. Bu problem versiya 3.1.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
- flowiseai flowise3.1.2 və ya daha yeni versiya
- flowise3.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.2 | 3.1.2 |
| flowisenpm | v < 3.1.2 | 3.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.