Vbcrlf

توجد مشكلة في المكونات المستندة إلى `BaseFileComponent`، بما في ذلك Docling (`DoclingInlineComponent`) وDocling Serve (`DoclingRemoteComponent`) وRead File (`FileComponent`) وNVIDIA Retriever Extraction (`NvidiaIngestComponent`) وVideo File (`VideoFileComponent`) وUnstructured API (`UnstructuredComponent`). تفشل الدالة ` unpack bundle()` الموجودة في `langflow/src/lfx/src/lfx/base/data/base file.py` في التحقق من صحة الملفات بشكل صحيح أثناء استخراج ملفات TAR، مما يسمح بمعالجة الروابط الرمزية. يمكن للمهاجم توفير ملف TAR مُعد خصيصًا يحتوي على روابط رمزية إلى مسارات مطلقة في نظام الملفات، مما يوجه العقدة لقراءة ملفات عشوائية. قد يؤدي ذلك إلى الكشف عن معلومات حساسة، مثل `secret key` المستخدم في رموز JWT، مما قد يسمح للمهاجم لاحقًا بتجاوز المصادقة وتنفيذ التعليمات البرمجية عن بُعد عن طريق إنشاء تدفق باستخدام عقدة Python Interpreter.

يمكن للمستخدمين غير المصادق عليهم الذين يتمتعون بإمكانية الوصول إلى الشبكة تحميل كميات غير محدودة من البيانات إلى الخادم، مما قد يؤدي إلى استنفاد مساحة القرص وبالتالي حدوث هجوم «رفض الخدمة». بالإضافة إلى ذلك، تكشف استجابة الخادم عن المسار المطلق للملف الذي تم تحميله، مما يؤدي إلى تسرب للمعلومات يمكن استخدامه لتسهيل شن هجمات أخرى. تحدث هذه المشكلة في نقطة النهاية ’/api/v1/upload/{flow id}‘ عبر الدالة `create upload file()`، حيث يوجد نقص في المصادقة والتحقق من صحة المتغير `flow id`. تم تحديد أكثر من 38,300 حالة قد تكون متأثرة عبر FOFA.

تتيح ميزة «Shareable Playground»، المعروفة أيضًا باسم «Public Flows»، للمستخدمين غير المصادق عليهم تنفيذ سير العمل عبر رابط عام. ويسمح عيب في هذه الميزة بقراءة ملفات عشوائية اعتمادًا على تكوين سير العمل. وعلى وجه التحديد، تقبل نقطة النهاية ’/api/v1/build public tmp‘ معلمة `files` تحتوي على قائمة بمسارات الملفات. يمكن أن تكون هذه المسارات ملفات محلية أو مسارات S3، والتي يتم قراءتها بعد ذلك بواسطة الدالة `to lc message` داخل `LCModelComponent. get chat result` وتُغذى إلى نموذج اللغة الكبير (LLM) كصور. تعتمد القدرة على استرداد محتويات الملف على تكوين نموذج اللغة الكبير (LLM) المحدد المستخدم.

تتيح ميزة «Shareable Playground» (المعروفة أيضًا باسم «Public Flows») للمستخدمين غير المصادق عليهم تنفيذ سير العمل عبر رابط. يسمح ثغرة في نقطة النهاية ’/api/v1/build public tmp‘ للمهاجمين بتنفيذ تعليمات برمجية Python عشوائية على الخادم عن طريق إرسال حمولة JSON مصممة خصيصًا. تحدث هذه المشكلة لأن النظام يسمح بتوفير تعليمات برمجية Python مخصصة ضمن المتغير `data.nodes[X].data.node.template.code.value` أثناء تنفيذ سير العمل. تم تحديد أكثر من 30,900 عملية نشر قد تكون متأثرة عبر FOFA. وقد يؤدي ذلك إلى اختراق كامل للنظام أو سرقة البيانات أو انقطاع الخدمة.