PT-2026-67779
CVE-2026-69263
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
يؤدي عدم اكتمال عملية التحقق من صحة متغيرات البيئة في الدالة
validateEnvironmentVariables() الموجودة في الملف packages/components/nodes/tools/MCP/core.ts إلى السماح بتجاوز الضوابط الأمنية التي تهدف إلى منع التثبيت التلقائي لحزم برمجية عشوائية. على الرغم من أن البرنامج يحظر علامتي -y و--yes لـ npx، إلا أنه يرفض فقط مجموعة محدودة من متغيرات البيئة (PATH، وLD LIBRARY PATH، وDYLD LIBRARY PATH، وNODE OPTIONS) بالاسم الدقيق. يمكن للمهاجم استخدام المتغير npm config yes المضبوط على true لتقليد سلوك --yes، مما يؤدي إلى قيام npx تلقائيًا بتثبيت حزمة محددة وتنفيذها. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد دون مصادقة في عمليات النشر الافتراضية. يمكن أيضًا استخدام متغيرات أخرى مثل npm config prefix وnpm config userconfig وNODE PATH وPYTHONPATH وPYTHONSTARTUP للتأثير على التنفيذ من خلال المفسرات المسموح بها.التوصيات
قم بتحديث Flowise إلى الإصدار 3.1.3.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الكائن
env في تكوينات خادم MCP أو تجنب استخدام المتغير npm config yes. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾