PT-2026-23790
CVE-2026-30824
·
تاريخ النشر
2026-03-06
·
تاريخ التحديث
2026-04-15
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.0.13
الوصف
يوجد في Flowise مشكلة تتمثل في إضافة نقطة نهاية جهاز التوجيه NVIDIA NIM (’/api/v1/nvidia-nim/*‘) بشكل غير صحيح إلى القائمة البيضاء في البرمجيات الوسيطة للمصادقة العامة. وقد سمح ذلك بالوصول غير المصادق عليه إلى نقاط نهاية حساسة تتعلق بإدارة الحاويات وإنشاء الرموز المميزة. وعلى وجه التحديد، تنشأ المشكلة عن إعداد في ملف
packages/server/src/utils/constants.ts، حيث تم تضمين مسار NVIDIA NIM في القائمة البيضاء للمصادقة، متجاهلاً التحقق من صحة JWT/مفتاح API. تشمل نقاط النهاية المتأثرة تلك الخاصة بالحصول على رموز NVIDIA API، وإدارة دورة حياة الحاويات (التشغيل، الإيقاف، سحب الصور)، واسترداد معلومات الحاوية. يمكن للمهاجم استغلال ذلك لتسريب رموز NVIDIA API صالحة، والتلاعب بوقت تشغيل الحاوية، وربما التسبب في رفض الخدمة. يمنح رمز API الخاص بـ NVIDIA الوصول إلى واجهة برمجة تطبيقات الاستدلال الخاصة بـ NVIDIA، ويمكنه سرد أكثر من 170 نموذجًا لغويًّا ضخمًا.التوصيات
يجب تحديث الإصدارات الأقدم من 3.0.13 إلى الإصدار 3.0.13 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾