CVE-2026-71962
Təsvir
Flowise versiyaları 2.2.4-dən 3.1.4-ə qədər olan versiyalarda POST /api/v1/openai-assistants-file/download son nöqtəsində (endpoint) avtorizasiyanın olmaması zəifliyi mövcuddur. Bu zəiflik, autentifikasiya olunmamış hücumçulara həmin son nöqtənin qlobal autentifikasiya ağ siyahısına daxil edilməsindən istifadə edərək bütün sessiya və API açarı yoxlamalarını yan keçməklə şəxsi fayllara giriş imkanı verir. Hücumçular hər hansı bir instansiyadakı istənilən çat axınına (chatflow), o cümlədən digər iş sahələrinə və ya təşkilatlara məxsus şəxsi çat axınlarına aid faylları əldə etmək üçün düzgün chatflowId, chatId və fileName identifikatorlarını təqdim edə bilərlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | 2.2.4 ≤ v ≤ 3.1.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.