CVE-2026-56268
Açıklama
3.1.2 sürümünden önceki Flowise, /api/v1/chatflows/apikey/:apikey uç noktasında bir bilgi ifşası zafiyeti içermektedir. keyonly sorgu parametresi atlandığında (varsayılan durum), temel sorguda herhangi bir çalışma alanı filtresi bulunmadığı için uç nokta yalnızca sağlanan API anahtarına bağlı sohbet akışlarını değil, aynı zamanda her çalışma alanındaki API anahtarı atanmamış tüm sohbet akışlarını da döndürür. Bu nedenle, bir çalışma alanı için geçerli bir API anahtarına sahip olan bir saldırgan, diğer çalışma alanlarına ait korumasız sohbet akışlarının tam ChatFlow yapılandırmasını (sistem istemleri ve düğüm yapılandırmalarını içeren flowData, chatbotConfig, apiConfig ve kimlik bilgisi ID'leri dahil) elde edebilir.
Nasıl düzeltilir
- flowiseai flowise3.1.2 ya da sonraki bir sürüm
- flowise3.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.2 | 3.1.2 |
| flowisenpm | v < 3.1.2 | 3.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.