CVE-2026-69253
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli (LLM) axınlarının qurulması üçün sürüşdür və burax (drag-and-drop) istifadəçi interfeysidir. Versiya 3.1.3-dən əvvəl bir neçə xüsusi alət komponenti — AgentAsTool, ChatflowTool və ExecuteFlow — kodu daxili proses vm2 qumcuvasında (sandbox) işlədirdi. Həmin kodu qurmaq üçün onlar istifadəçi tərəfindən idarə olunan baseURL dəyərini birbaşa JavaScript mənbəyinə yerləşdirirdilər, məsələn: const url = "${baseURL}/...". baseURL üzərindəki yeganə yoxlama isValidURL idi, lakin düzgün görünən URL hələ də kod sətirindən çıxa bilən simvollar ehtiva edə bilərdi. Autentifikasiya olunmuş istifadəçi bu yoxlamadan keçən, ətrafdakı sətiri bağlayan və qumcuva skriptinə öz JavaScript kodunu yerləşdirən baseURL hazırlaya bilərdi (kod inyeksiyası, CWE-94). vm2 qumcuvası Flowise ilə eyni Node.js prosesində işləyir və riskli asılılıqları üzə çıxarır. Nəticədə, inyeksiya edilmiş kod qumcuvadan çıxa və Flowise serverində Flowise proses istifadəçisi kimi ixtiyari kod icra edə bilərdi. İstismar üçün yalnız autentifikasiya olunmuş sessiya tələb olunur. Problem versiya 3.1.3-də həll edilmişdir; bu versiyada URL koda yerləşdirilmək əvəzinə qumcuvaya məlumat kimi ötürülür və daha ciddi URL validasiyası əlavə edilir.
Necə düzəltmək olar
- flowiseai flowise3.1.3 və ya daha yeni versiya
- flowise3.1.3 və ya daha yeni versiya
- flowise-components3.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
| flowise-componentsnpm | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.