CVE-2025-71333

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 2.2.5

Description Um problema de upload arbitrário de arquivos não autenticado ocorre quando o storageType está configurado como local. Isso permite que atacantes utilizem path traversal—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—através dos parâmetros chatId e chatflowId no endpoint '/api/v1/attachments'. Isso pode levar ao upload de arquivos maliciosos para diretórios arbitrários, resultando potencialmente na execução remota de código e no comprometimento total do servidor.

Recommendations Atualize o Flowise para a versão 2.2.5 ou posterior. Como mitigação temporária, evite configurar o storageType como local ou restrinja o acesso ao endpoint '/api/v1/attachments'.