PT-2025-42175 · Flowise+2 · Flowise+2
CVSS v3.1
9.9
حرجة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise من 3.0.1 إلى 3.0.7
إصدارات Flowise 3.0.8 والإصدارات الأحدث مع تمكين ’ALLOW BUILTIN DEP‘
الوصف
يحتوي البرنامج على ثغرة أمنية تسمح بتنفيذ التعليمات البرمجية عن بُعد بعد المصادقة، بالإضافة إلى هروب من بيئة الحماية (sandbox) الخاصة بآلة Node الافتراضية (VM). ويرجع ذلك إلى الاستخدام غير الآمن للوحدات المدمجة (Puppeteer وPlaywright) داخل بيئة التشغيل nodevm. يمكن للمهاجم المصادق عليه، القادر على إنشاء أو تشغيل أداة تستخدم Puppeteer/Playwright، تحديد مسارات ومعلمات ملفات متصفح ثنائية يتحكم فيها المهاجم. عند تشغيل الأداة، يتم تنفيذ هذه العناصر التي يتحكم فيها المهاجم على المضيف، مما يتجاوز قيود صندوق الحماية nodevm ويسمح بتنفيذ تعليمات برمجية تعسفية في سياق المضيف. وقد حدد المطورون هذه المشكلة في البداية بشكل خاطئ على أنها نسخة مكررة من مشكلة أخرى.
التوصيات
قم بالتحديث إلى الإصدار 3.0.8 أو أحدث من Flowise وتأكد من تعطيل ’ALLOW BUILTIN DEP‘.
بالنسبة للإصدارات الأقدم من 3.0.8، ضع في اعتبارك تقييد الوصول إلى الأدوات التي تستخدم Puppeteer/Playwright.
استغلال
إصلاح
RCE
DoS
Command Injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Flowise
Playright
Puppeteer