PT-2026-69899
CVE-2026-71962
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise من 2.2.4 إلى 3.1.4
الوصف
يوجد ثغرة في نظام التفويض في نقطة النهاية ’POST /api/v1/openai-assistants-file/download‘. ونظرًا لأن نقطة النهاية هذه مدرجة في القائمة البيضاء العالمية للمصادقة، فإنها تتجاوز التحقق من الجلسة ومفتاح واجهة برمجة التطبيقات (API)، مما يسمح بالوصول دون مصادقة. يمكن للمهاجم استرداد الملفات الخاصة من أي تدفق دردشة على المثيل، بما في ذلك تلك الموجودة في مساحات العمل أو المؤسسات الأخرى، من خلال توفير معرّفات صالحة لـ
chatflowId وchatId وfileName.التوصيات
قم بتحديث Flowise إلى إصدار أحدث من 3.1.4.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’POST /api/v1/openai-assistants-file/download‘.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾