CVE-2026-69262
Açıklama
Flowise, özelleştirilmiş bir büyük dil modeli akışı oluşturmak için kullanılan sürükle ve bırak tabanlı bir kullanıcı arayüzüdür. 3.1.3 sürümünden önce, `DELETE /api/v1/chatflows/:id` uç noktası istekleri checkAnyPermission('chatflows:delete,agentflows:delete') ile yetkilendiriyordu; bu nedenle, her iki izinden herhangi birine sahip olmak silme yoluna erişmek için yeterliydi. Silme mantığı daha sonra hedef kaydı yalnızca id ve workspaceId üzerinden çözümlüyor ve hedef kaynak türünü doğrulamıyordu; bu durum, yalnızca agentflows:delete iznine sahip bir çağırıcının aynı çalışma alanındaki bir CHATFLOW'u ve yalnızca chatflows:delete iznine sahip bir çağırıcının bir AGENTFLOW'u silmesine olanak tanıyordu. Bu sorun 3.1.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- flowiseai flowise3.1.3 ya da sonraki bir sürüm
- flowise3.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.