CVE-2025-71334

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.0.6

Description Um problema existe devido à falta de validação que garanta que os parâmetros chatflowId e chatId sejam UUIDs ou números durante operações de manipulação de arquivos. Um invasor não autenticado pode usar valores de path-traversal para realizar o acesso arbitrário a arquivos. Especificamente, o endpoint '/api/v1/chatflows' (via função addBase64FilesToStorage()) pode ser usado para gravar arquivos arbitrários, enquanto os endpoints '/api/v1/get-upload-file' e '/api/v1/openai-assistants-file/download' (via função streamStorageFile()) podem ser usados para ler arquivos arbitrários. A gravação arbitrária de arquivos pode levar à execução remota de código.

Recommendations Atualize para a versão 3.0.6 ou posterior.