PT-2025-39075
CVE-2025-59528
·
تاريخ النشر
2025-09-15
·
تاريخ التحديث
2026-10-02
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.0.6
الوصف
Flowise هي واجهة مستخدم تعمل بالسحب والإفلات لإنشاء تدفقات مخصصة لنماذج لغوية كبيرة. توجد مشكلة خطيرة في عقدة CustomMCP، التي تسمح للمستخدمين بإدخال إعدادات التكوين للاتصال بخادم خارجي لبروتوكول سياق النموذج (MCP). تقوم العقدة بتحليل السلسلة
mcpServerConfig لإنشاء تكوين الخادم، لكنها تنفذ كود JavaScript دون التحقق من الأمان. وعلى وجه التحديد، تقوم الدالة convertToValidJSONString() بتمرير مدخلات المستخدم مباشرةً إلى مُنشئ Function()، وتقوم بتقييمها ككود JavaScript. ونظرًا لأن هذه العملية تعمل بامتيازات تشغيل Node.js الكاملة، فإنها تسمح بالوصول إلى الوحدات النمطية الخطيرة مثل child process وfs، مما يتيح تنفيذ الكود عن بُعد، والوصول إلى نظام الملفات، والسيطرة الكاملة على النظام. يمكن الوصول إلى هذه الثغرة عبر نقطة النهاية ’/api/v1/node-load-method/customMCP‘ من خلال المعلمة mcpServerConfig. تشير التقديرات إلى أن ما بين 12,000 و 15,000 مثيل متصل بالإنترنت قد يكون متأثرًا بهذه الثغرة، وقد لوحظت محاولات استغلال فعلية في العالم الحقيقي.التوصيات
قم بالتحديث إلى الإصدار 3.0.6 أو أحدث.
كحل مؤقت، قم بتعطيل أو تقييد الوصول إلى عقدة CustomMCP ونقطة النهاية ’/api/v1/node-load-method/customMCP‘.
قم بتقييد نقاط النهاية الخاصة بالإدارة وواجهة برمجة التطبيقات (API) خلف شبكة VPN أو قوائم IP المسموح بها.
قم بإلغاء وتدوير رموز API وبيانات الاعتماد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾