CVE-2026-73483
Təsvir
Flowise (flowise və flowise-components paketləri) versiya <= 3.1.2-də vm2/@flowiseai/nodevm JavaScript qumcuvasında (sandbox) qumcuvadan çıxma zəifliyi mövcuddur. /api/v1/node-custom-function son nöqtəsinə giriş imkanı olan autentifikasiya olunmuş istifadəçi, puppeteer.launch() funksiyasına hücumçu tərəfindən idarə olunan executablePath və args parametrlərini təqdim etməklə qumcuvadan çıxa bilər; bu funksiya daxili şəkildə qumcuva sərhədindən kənarda child_process.spawn() metodunu çağırır. Bu, əməliyyat sisteminin ixtiyari əmrlərinin Flowise proses istifadəçisi kimi (rəsmi Docker obrazında root) icrasına və Chromium-un file:// URL emalı vasitəsilə host fayllarının ixtiyari şəkildə ifşasına imkan verir. Versiyalar 3.0.8–3.1.2 arasında istismar üçün ALLOW_BUILTIN_DEP=true tələb olunur; daha əvvəlki versiyalar standart olaraq istismara açıqdır. Problem 3.1.3 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- flowise3.1.3 və ya daha yeni versiya
- flowise-components3.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flowiseai flowise | v ≤ 3.1.2 | — |
| flowisenpm | v < 3.1.3 | 3.1.3 |
| flowise-componentsnpm | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.