PT-2026-71430
CVE-2026-73602
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.3
الوصف
يمكن للمستخدمين المصادق عليهم تنفيذ تعليمات برمجية تعسفية من خلال الهروب من بيئة الحماية (sandbox) الخاصة بـ JavaScript في vm2. ويتم ذلك عن طريق استغلال ثغرة في عملية التحقق من صحة الإعدادات المحلية (locale)، حيث يمكن للمهاجم إنشاء كائن String مزيف باستخدام دالة
match. تتجاوز هذه التقنية عمليات التحقق من اجتياز المسار، مما يسمح بتحميل وتنفيذ ملفات JavaScript ضارة مخزنة في مخزن المستندات خارج بيئة الصندوق الرملي.التوصيات
تحديث Flowise إلى الإصدار 3.1.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾