CVE-2026-46442
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.1.2-dən əvvəl, POST /api/v1/node-custom-function marşrut səviyyəsində avtorizasiyaya malik deyil, bu da hər hansı autentifikasiya olunmuş istifadəçiyə və ya API açarına Custom JS Function düyününə ixtiyari JavaScript göndərməyə imkan verir. E2B_APIKEY konfiqurasiya edilmədikdə — ki, bu da geniş yayılmış tətbiq halıdır — Flowise bu kodu NodeVM qumcuğunda (sandbox) icra edir. Bu qumcuqdan çıxmaq mümkündür ki, bu da hücumçuya host proses obyektinə çatmağa və child_process vasitəsilə sistem əmrlərini icra etməyə imkan verir. Nəticədə Flowise server hostunda autentifikasiya olunmuş uzaqdan kodun icrası baş verir. Bu problem versiya 3.1.2-də aradan qaldırılıb.
Necə düzəltmək olar
- flowiseai flowise3.1.2 və ya daha yeni versiya
- flowise3.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.2 | 3.1.2 |
| flowisenpm | v < 3.1.2 | 3.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.