CVE-2026-30821

Flowise, özelleştirilmiş bir büyük dil modeli akışı oluşturmak için bir sürükle-bırak kullanıcı arayüzüdür. 3.0.13 sürümünden önce, /api/v1/attachments/:chatflowId/:chatId uç noktası WHITELIST_URLS içinde listelenerek dosya yükleme API'sine kimlik doğrulaması olmadan erişime izin veriyordu. Sunucu yüklemeleri chatbotConfig.fullFileUpload.allowedUploadFileTypes içinde tanımlanan MIME türlerine göre doğrulasada, dosyanın gerçek içeriğini (magic bytes) veya uzantısını (file.originalname) doğrulamadan istemci tarafından sağlanan Content-Type başlığına (file.mimetype) örtük olarak güvenmektedir. Sonuç olarak, bir saldırgan kötü amaçlı betikler veya rastgele dosyalar yüklerken Content-Type'ı izin verilen bir tür (ör. application/pdf) olarak sahteleyerek bu kısıtlamayı atlatabilir. addArrayFilesToStorage aracılığıyla yüklendikten sonra bu dosyalar arka uç depolamada (S3, GCS veya yerel disk) kalıcı olur. Bu güvenlik açığı, statik barındırma veya dosya alma gibi diğer özelliklerle zincirlendiğinde Kalıcı XSS, kötü amaçlı dosya barındırma veya Uzaktan Kod Çalıştırma (RCE) ile sonuçlanabilen kritik bir giriş noktası işlevi görür. Bu sorun 3.0.13 sürümünde yamalanmıştır.