CVE-2024-36423

Flowise versão 1.4.3

Uma vulnerabilidade de cross-site scripting refletido ocorre no endpoint “/api/v1/public-chatflows/id” do Flowise. Isso permite que um invasor crie uma URL especialmente elaborada que injeta Javascript nas sessões dos usuários, podendo roubar informações, criar pop-ups falsos ou redirecionar usuários para outros sites. Se o ID do chatflow não for encontrado, seu valor é refletido na página 404, permitindo que um invasor anexe scripts arbitrários e roube informações confidenciais. Essa vulnerabilidade pode ser combinada com injeção de caminho para ler arquivos arbitrários do servidor do Flowise.

Para a versão 1.4.3, como solução temporária, considere desativar o acesso ao endpoint “/api/v1/public-chatflows/id” até que um patch esteja disponível. Restrinja o uso do parâmetro id neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.