CVE-2026-70473
Təsvir
Flowise fərdiləşdirilmiş böyük dil modeli (LLM) axınlarının qurulması üçün sürüşdür və burax (drag-and-drop) istifadəçi interfeysidir. Versiya 3.1.3-dən əvvəl Flowise GET /api/v1/upsert-history sorğusu cavabı sorğunu göndərən istifadəçiyə, tenant-a və ya iş sahəsinə məxsus olmaq əvəzinə bütün server üzrə upsert tarixçəsini qaytarır. Cavab 100MB-dan çox ola bilər və bura Qdrant Server URL və kolleksiya adı kimi Vector Store parametrləri də daxil olmaqla həssas konfiqurasiya məlumatları daxildir. Müşahidə edilən davranış yetərsiz və ya çatışmayan avtorizasiya yoxlamalarını, iş sahəsi/layihə/tenant izolyasiyasının olmadığını, həmçinin səhifələmənin və ya limitlərin mövcud olmadığını göstərir ki, bu da daha hədəflənmiş hücumlara imkan verə biləcək inteqrasiya parametrlərini və infrastruktur detallarını ifşa edir. Bu problem versiya 3.1.3-də düzəldilib.
Necə düzəltmək olar
- flowiseai flowise3.1.3 və ya daha yeni versiya
- flowise3.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.