CVE-2024-36423

Flowise, özelleştirilmiş büyük dil modeli akışları oluşturmak için kullanılan sürükle ve bırak tabanlı bir kullanıcı arayüzüdür. Flowise'ın 1.4.3 versiyonunda, `/api/v1/public-chatflows/id` uç noktasında yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Varsayılan yapılandırma kullanılıyorsa (kimlik doğrulaması yapılmamışsa), bir saldırgan, kullanıcı oturumlarına Javascript enjekte eden özel olarak hazırlanmış bir URL oluşturabilir; bu durum saldırganın bilgi çalmasına, sahte açılır pencereler oluşturmasına veya kullanıcıyı etkileşim olmaksızın diğer web sitelerine yönlendirmesine olanak tanır. Chatflow ID bulunamadığında, değeri text/html tipindeki 404 sayfasında yansıtılmaktadır. Bu durum, bir saldırganın sayfaya rastgele betikler ekleyerek hassas bilgileri çalmasına izin verir. Bu XSS, Flowise'a doğrudan erişimi olmayan bir saldırganın Flowise sunucusundan rastgele dosyaları okumasını sağlamak amacıyla yol enjeksiyonu (path injection) ile zincirlenebilir. Yayınlanma tarihi itibarıyla bilinen herhangi bir yama mevcut değildir.