PT-2026-24483
CVE-2026-31829
·
تاريخ النشر
2026-03-10
·
تاريخ التحديث
2026-04-12
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.0.13
الوصف
يحتوي Flowise، وهو واجهة مستخدم تعمل بنظام السحب والإفلات لإنشاء تدفقات مخصصة من نماذج اللغات الكبيرة، على ثغرة أمنية تتمثل في تزوير الطلبات من جانب الخادم (SSRF). يعرض التطبيق عقدة HTTP داخل AgentFlow وChatflow تقوم بتنفيذ طلبات HTTP من جانب الخادم باستخدام عناوين URL التي يتحكم فيها المستخدم. لا توجد قيود على المضيفات المستهدفة، مما يسمح بتوجيه الطلبات إلى نطاقات عناوين IP خاصة أو localhost أو نقاط نهاية بيانات تعريف السحابة. وهذا يسمح للمهاجم الذي يتفاعل مع «Chatflow» معروض علنًا بإجبار خادم Flowise على إرسال طلبات إلى موارد الشبكة الداخلية التي كانت ستكون، لولا ذلك، غير قابلة للوصول من شبكة الإنترنت العامة.
التوصيات
قم بالتحديث إلى الإصدار 3.0.13 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾