PT-2026-23788
CVE-2026-30822
·
تاريخ النشر
2026-03-06
·
تاريخ التحديث
2026-03-07
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L
Flowise والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.0.13
الوصف
Flowise هي واجهة مستخدم تعمل بنظام السحب والإفلات لإنشاء تدفق نموذج لغة مخصص واسع النطاق. توجد ثغرة أمنية تتعلق بالتعيين الجماعي في نقطة النهاية
/api/v1/leads، مما يسمح للمستخدمين غير المصادق عليهم بالتحكم في الحقول الداخلية للكيان (id، createdDate، chatId) من خلال تضمينها في نص الطلب. تستخدم نقطة النهاية Object.assign() لنسخ جميع الخصائص من نص الطلب إلى كيان Lead دون التحقق من صحة المدخلات أو تصفية الحقول. وهذا يسمح للمهاجمين بتجاوز الحقول التي يتم إنشاؤها تلقائيًا وحقن قيم عشوائية. توجد الثغرة الأمنية في /packages/server/src/services/leads/index.ts في السطور 27-28. يستخدم تعريف كيان Lead في /packages/server/src/database/entities/Lead.ts زخارف TypeORM التي من المفترض أن تولد هذه الحقول تلقائيًا، لكن Object.assign() يقوم بالكتابة فوق هذه الحقول قبل حفظها. نقطة النهاية /api/v1/leads متاحة للجمهور بسبب إدراجها في قائمة الأذونات في /packages/server/src/utils/constants.ts. تشمل سيناريوهات الهجوم هجمات تضارب المعرفات، والتلاعب بسجل التدقيق، وانتهاكات سلامة البيانات، والتلاعب بربط تدفق الدردشة.التوصيات
الإصدارات الأقدم من 3.0.13: قم بتطبيق تصحيح لإنشاء قائمة بالحقول المسموح بها أثناء تعيين الكائنات، c
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾