CVE-2026-69252
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.1.3-dən əvvəl `/api/v1/files` marşrutu yalnız `feat:files` funksiya qapısı ilə qorunurdu və GET və ya DELETE sorğuları zamanı `checkPermission` yoxlamasını tətbiq etmirdi. Aidiyyətsiz icazələri olan aşağı səlahiyyətli autentifikasiya olunmuş API açarı, təşkilatın yaddaş kökündəki faylların siyahısını görmək üçün `GET /api/v1/files` və eyni təşkilatdakı digər iş sahələrinə aid faylları silmək üçün `DELETE /api/v1/files?path=...` sorğularını çağıra bilərdi, çünki `getAllFiles` və `deleteFile` funksiyaları girişi icazələr və ya `activeWorkspaceId` ilə məhdudlaşdırmadan `activeOrganizationId` və istifadəçi tərəfindən idarə olunan yolu istifadə edirdi. Bu problem 3.1.3 versiyasında düzəldilib.
Necə düzəltmək olar
- flowiseai flowise3.1.3 və ya daha yeni versiya
- flowise3.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.