PT-2026-41207
CVE-2026-46442
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.2
الوصف
Flowise هي واجهة مستخدم تعمل بنظام السحب والإفلات لإنشاء تدفقات مخصصة لنماذج لغوية كبيرة. تفتقر نقطة النهاية ’POST /api/v1/node-custom-function‘ إلى المصادقة على مستوى المسار، مما يسمح لأي مستخدم تمت مصادقته أو حامل مفتاح API صالح بإرسال جافا سكريبت تعسفي إلى عقدة Custom JS Function. في عمليات النشر التي لم يتم فيها تكوين
E2B APIKEY، يقوم البرنامج بتنفيذ هذا الرمز داخل بيئة NodeVM المحمية. يمكن تجاوز بيئة الحماية هذه عن طريق استغلال مسار استثناء حيث يسمح كائن Error باستعادة منشئ Function المضيف، مما يتيح الوصول إلى كائن process المضيف وتنفيذ أوامر النظام عبر child process. يؤدي هذا إلى تنفيذ تعليمات برمجية عن بُعد لمستخدم تمت مصادقته على مضيف الخادم، مما قد يسمح للمهاجمين بقراءة الأسرار، أو الوصول إلى نظام الملفات، أو القيام بحركة جانبية. وقد لوحظت محاولات فعلية لاستغلال هذه الثغرة.التوصيات
تحديث Flowise إلى الإصدار 3.1.2.
كإجراء تخفيفي مؤقت، قم بتكوين
E2B APIKEY لتجنب اللجوء إلى NodeVM المعرض للثغرة.تقييد الوصول إلى نقطة النهاية ’POST /api/v1/node-custom-function‘ لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾