PT-2026-51151
CVE-2026-56276
·
تاريخ النشر
2026-05-20
·
تاريخ التحديث
2026-06-22
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.2
الوصف
توجد مشكلة في التعيين الجماعي في نقطة النهاية ’PUT /api/v1/user‘. وهذا يسمح للمستخدمين المصادق عليهم بتعديل حقل
credential دون التحقق الصحيح. ومن خلال توفير تجزئة كلمة مرور مصممة خصيصًا، يمكن للمهاجم تجاوز التحقق من تغيير كلمة المرور وإبطال صلاحية الجلسة، مما يتيح الوصول المستمر إلى الحساب بعد اختراق مؤقت للجلسة. يحدث التعيين الجماعي عندما يأخذ التطبيق البيانات التي يقدمها المستخدم ويربطها بكائن داخلي دون تصفية، مما يسمح للمستخدمين بتعديل الحقول التي لا ينبغي أن يكون لديهم حق الوصول إليها.التوصيات
قم بالتحديث إلى الإصدار 3.1.2 أو أحدث.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’PUT /api/v1/user‘ أو تجنب استخدام المعلمة
credential حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾