CVE-2024-36420

Flowise versão 1.4.3

O problema diz respeito à falta de sanitização do parâmetro de corpo fileName no endpoint “/api/v1/openai-assistants-file”, localizado no arquivo index.ts. Essa falta de sanitização leva a uma vulnerabilidade de leitura arbitrária de arquivos. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

Para a versão 1.4.3 do Flowise, como solução temporária, considere restringir o acesso ao endpoint “/api/v1/openai-assistants-file” até que uma correção esteja disponível. Evite usar o parâmetro fileName neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.