CVE-2025-71324

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.0.6

Description Um problema de leitura arbitrária de arquivos existe onde o parâmetro chatId nos endpoints '/api/v1/get-upload-file' e '/api/v1/openai-assistants-file/download' não é validado. Este valor é passado para a função streamStorageFile(), onde um caminho de busca de arquivo de fallback construído sem o orgId é avaliado após a verificação de contenção do diretório de armazenamento. Isso permite a travessia de caminho (path traversal), possibilitando que atacantes não autenticados leiam arquivos sensíveis, como '/root/.flowise/database.sqlite', o que pode expor todo o conteúdo do banco de dados na configuração padrão.

Recommendations Atualize para a versão 3.0.6 ou posterior. Evite usar o parâmetro chatId nos endpoints '/api/v1/get-upload-file' e '/api/v1/openai-assistants-file/download' até que a atualização seja aplicada.