PT-2026-67729
CVE-2026-69251
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-09-14
الوصف من
CVSS 4.0
9.0
حرجةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
تسمح عقد إدارة السجلات وعقد ذاكرة الوكيل في Flowise للمستخدمين المصادق عليهم بتعيين خيارات TypeORM
DataSource تعسفية عبر مدخل additionalConfig. يحدث هذا في المكونات التالية:-
packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts -
packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts -
packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts -
packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts -
packages/components/nodes/memory/AgentMemory/AgentMemory.ts
نظرًا لأن خيارات
DataSource في TypeORM، مثل entities وsubscribers وmigrations، يمكنها تحميل ملفات JavaScript محلية، يمكن للمهاجم تحميل حمولة JavaScript ضارة والإشارة إليها من خلال المتغير additionalConfig.entities لتنفيذ تعليمات برمجية تعسفية على الخادم، مما يؤدي إلى اختراق التطبيق بالكامل. تتضمن عملية الاستغلال استخدام نقطة النهاية POST /api/v1/auth/login للحصول على تفاصيل المؤسسة ونقطة النهاية POST /api/v1/document-store/loader/process/{loader id} لتحميل الحمولة.التوصيات
تحديث Flowise إلى الإصدار 3.1.3.
كإجراء تخفيفي مؤقت، قم بتقييد أو تعطيل استخدام مدخل
additionalConfig في عقد إدارة السجلات وعقد ذاكرة الوكلاء لمنع تكوين entities وsubscribers وmigrations، وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾