CVE-2026-69257
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.1.3-dən əvvəl Flowise-in HTTP təhlükəsizlik modulu httpSecurity.ts, ::ffff:127.0.0.1 və ::ffff:169.254.169.254 kimi IPv4-lə xəritələnmiş IPv6 ünvanlarını qadağan edilmiş siyahı ilə yoxlamazdan əvvəl normallaşdırmırdı. ipaddr.js bu ünvanları ipv6 olaraq bildirdiyi, lakin IPv4 CIDR qadağan siyahısı qeydləri ipv4 olduğu üçün isDeniedIP() funksiyası IPv4 CIDR yoxlamalarını ötürdü. HTTP Node, API Chain, Document Loader, MCP aləti və ya secureAxiosRequest(), secureFetch() yaxud checkDenyList() istifadə edən digər yollar tərəfindən istifadə edilən host adının DNS həllini idarə edən hücumçu, IPv4-lə xəritələnmiş hədəf üçün AAAA qeydi qaytara və sorğuların localhost-a, daxili xidmətlərə və ya bulud metadata son nöqtələrinə çatmasına səbəb ola bilərdi. Bu problem 3.1.3 versiyasında düzəldilib.
Necə düzəltmək olar
- flowiseai flowise3.1.3 və ya daha yeni versiya
- flowise3.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.