CVE-2025-71338
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 — wyżej niż 45% wszystkich znanych CVE
Streszczenie
Flowise zawiera podatność polegającą na przechodzeniu poza katalog (path traversal) w punkcie końcowym /api/v1/document-store/loader/process, która umożliwia nieuwierzytelnionym atakującym zapisywanie dowolnych plików w systemie plików. Atakujący mogą wykorzystać niesanitowane parametry fileName z sekwencjami ../ do nadpisania krytycznych plików, takich jak package.json, i uzyskać zdalne wykonanie kodu po ponownym uruchomieniu aplikacji.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kontroli nad serwerem poprzez zdalne wykonanie kodu, co może prowadzić do kradzieży danych, zakłócenia działania usług lub dalszego ataku na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację Flowise do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie walidacji ścieżek plików w celu zapobiegania atakom path traversal.
Oryginalny opis (angielski, źródło NVD)
Flowise contains a path traversal vulnerability in the /api/v1/document-store/loader/process endpoint that allows unauthenticated attackers to write arbitrary files to the filesystem. Attackers can exploit unsanitized fileName parameters with ../ sequences to overwrite critical files like package.json and achieve remote code execution when the application restarts.