CVE-2025-71334
Açıklama
3.0.6 öncesindeki Flowise (etkilenen sürümler 2.2.8 ve öncesi), dosya işleme operasyonlarında chatflowId ve chatId parametrelerinin UUID veya sayı olduğunun doğrulanmaması nedeniyle rastgele dosya erişim zafiyeti içermektedir. Kimliği doğrulanmamış bir saldırgan, chatflow id olarak bir yol aşımı (path-traversal) değeri (örneğin, '../../../../../tmp') sağlayarak, /api/v1/chatflows uç noktasını (addBase64FilesToStorage aracılığıyla) rastgele dosyalar yazmak için ve /api/v1/get-upload-file ile /api/v1/openai-assistants-file/download uç noktalarını (streamStorageFile aracılığıyla) rastgele dosyaları okumak için kullanabilir. Rastgele dosya yazma işlemi uzaktan kod çalıştırmaya yol açabilir.
Nasıl düzeltilir
- flowiseai flowise3.0.6 ya da sonraki bir sürüm
- flowise3.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.0.6 | 3.0.6 |
| flowisenpm | 2.2.8 ≤ v < 3.0.6 | 3.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.