PT-2026-68776 · Flowise · Flowise
CVSS v3.1
9.9
حرجة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.5
الوصف
توجد ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في تكامل OpenAI Assistants. تتيح هذه المشكلة للمهاجمين المصادق عليهم الوصول إلى بيانات الاعتماد الخاصة بمساحات عمل أخرى عن طريق تزويد نقاط نهاية Assistants بـ UUID تعسفي لبيانات الاعتماد، حيث يفشل النظام في التحقق من ملكية مساحة العمل. من خلال استغلال عدم وجود فحص للتفويض على نطاق مساحة العمل في منطق البحث عن بيانات الاعتماد، يمكن للمهاجمين حصر بيانات تعريف المساعد عبر مساحات العمل، واسترداد قوائم الملفات ومخازن المتجهات، وتحميل الملفات إلى مساحات عمل الضحايا.
التوصيات
التحديث إلى الإصدار 3.1.5 أو أحدث.
استغلال
إصلاح
DoS
IDOR
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Flowise