CVE-2025-71324

إصدارات Flowise الأقدم من 3.0.6

توجد ثغرة تسمح بقراءة ملفات عشوائية، حيث لا يتم التحقق من صحة المعلمة chatId في نقاط النهاية ’/api/v1/get-upload-file‘ و ’/api/v1/openai-assistants-file/download‘. يتم تمرير هذه القيمة إلى الدالة streamStorageFile()، حيث يتم تقييم مسار بحث بديل عن الملف تم إنشاؤه بدون orgId بعد فحص احتواء دليل التخزين. وهذا يسمح باجتياز المسار، مما يمكّن المهاجمين غير المصادق عليهم من قراءة الملفات الحساسة، مثل ’/root/.flowise/database.sqlite‘، مما قد يؤدي إلى كشف محتوى قاعدة البيانات بالكامل في التكوين الافتراضي.

قم بالتحديث إلى الإصدار 3.0.6 أو أحدث.

تجنب استخدام المعلمة chatId في نقاط النهاية ’/api/v1/get-upload-file‘ و ’/api/v1/openai-assistants-file/download‘ حتى يتم تطبيق التحديث.