CVE-2026-69253
Açıklama
Flowise, özelleştirilmiş büyük dil modeli (LLM) akışları oluşturmak için kullanılan sürükle-bırak tabanlı bir kullanıcı arayüzüdür. Versiyon 3.1.3 öncesinde; AgentAsTool, ChatflowTool ve ExecuteFlow gibi çeşitli özel araç bileşenleri, kodu süreç içi vm2 sandbox içerisinde çalıştırıyordu. Bu kodu oluştururken, kullanıcı kontrollü baseURL değerini doğrudan JavaScript kaynağına ekliyorlardı (örneğin const url = "${baseURL}/..."). baseURL üzerindeki tek kontrol isValidURL idi ancak geçerli görünen bir URL, hala bir kod dizisini bozan karakterler içerebilir. Kimliği doğrulanmış bir kullanıcı, bu kontrolü geçen, çevreleyen diziyi kapatan ve sandbox'lı betiğe kendi JavaScript kodunu enjekte eden bir baseURL oluşturabilirdi (kod enjeksiyonu, CWE-94). vm2 sandbox, Flowise ile aynı Node.js sürecinde çalışır ve riskli bağımlılıkları açığa çıkarır. Sonuç olarak, enjekte edilen kod sandbox'tan kaçabilir ve Flowise sunucusunda Flowise süreç kullanıcısı olarak rastgele kod çalıştırabilirdi. İstismar için yalnızca kimliği doğrulanmış bir oturum gereklidir. Sorun, URL'yi koda eklemek yerine veri olarak sandbox'a aktaran ve daha katı URL doğrulaması ekleyen versiyon 3.1.3 ile düzeltilmiştir.
Nasıl düzeltilir
- flowiseai flowise3.1.3 ya da sonraki bir sürüm
- flowise3.1.3 ya da sonraki bir sürüm
- flowise-components3.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
| flowise-componentsnpm | v < 3.1.3 | 3.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.