CVE-2024-58351

2.1.4 sürümünden önceki Flowise, hem ön uç web entegrasyonunda hem de arka uç Prediction API'sinde desteklenen overrideConfig seçeneği aracılığıyla yürütme sırasında Chainflow'a konfigürasyon enjekte edilmesine izin verir. Bu özelliğin varsayılan olarak etkin olması, izin verilen değişkenler için bir beyaz liste bulunmaması ve kum havuzu (sandboxing) için vm2'ye güvenmesi nedeniyle; bir saldırgan bunu uzaktan kod çalıştırma, kum havuzundan kaçış, sunucuyu çöktererek hizmet reddi, sunucu taraflı istek sahteciliği (SSRF), istem enjeksiyonu (prompt injection) ile sunucu değişkenleri ve veri sızdırma işlemleri gerçekleştirmek için kötüye kullanabilir. Bu sorunlar yalnızca hedef alınan sistemle sınırlıdır ve diğer kullanıcılara sirayet etmez.