CVE-2026-70473
Açıklama
Flowise, özelleştirilmiş büyük dil modeli (LLM) akışları oluşturmak için kullanılan sürükle-bırak tabanlı bir kullanıcı arayüzüdür. 3.1.3 sürümünden önce, Flowise GET /api/v1/upsert-history uç noktası, isteği yapan kullanıcı, kiracı veya çalışma alanı ile sınırlandırılmak yerine sunucu genelindeki tüm upsert geçmişini döndürmektedir. Yanıt 100 MB'ı aşabilmekte ve Qdrant Server URL'si ile koleksiyon adı gibi Vector Store ayarlarını içeren hassas yapılandırma verilerini barındırmaktadır. Gözlemlenen bu davranış; eksik veya yetersiz yetkilendirme kontrollerine, çalışma alanı/proje/kiracı izolasyonu eksikliğine ve sayfalama veya limitlerin bulunmamasına işaret ederek, daha hedefli saldırılara olanak sağlayabilecek entegrasyon parametrelerini ve altyapı ayrıntılarını açığa çıkarmaktadır. Bu sorun 3.1.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- flowiseai flowise3.1.3 ya da sonraki bir sürüm
- flowise3.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.3 | 3.1.3 |
| flowisenpm | v < 3.1.3 | 3.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.