PT-2026-67812
CVE-2026-70473
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
Flowise هي واجهة مستخدم تعمل بالسحب والإفلات لإنشاء تدفقات مخصصة لنماذج اللغة الكبيرة (LLM). تعرض نقطة النهاية
GET /api/v1/upsert-history سجل عمليات الإدراج والتحديث (upsert) الكامل على مستوى الخادم بدلاً من قصر البيانات على المستخدم أو المستأجر أو مساحة العمل الطالب. يحدث هذا بسبب عدم وجود فحوصات ترخيص أو عدم كفايتها، ونقص عزل مساحة العمل أو المشروع أو المستأجر، وعدم وجود ترقيم الصفحات أو حدود. قد يتجاوز حجم الاستجابة الناتجة 100 ميجابايت، مما يعرض بيانات التكوين الحساسة وتفاصيل البنية التحتية للخطر، مثل إعدادات Vector Store بما في ذلك متغيري qdrantServerUrl وqdrantCollection. قد يؤدي الكشف عن هذه المعلومات إلى تمكين المزيد من الهجمات الموجهة.التوصيات
قم بالتحديث إلى الإصدار 3.1.3.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
GET /api/v1/upsert-history لتقليل مخاطر الاستغلال إلى الحد الأدنى. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾