Podatności Flowise

Flowise przed wersją 3.1.2 nie usuwa pola encryptedData z odpowiedzi API podczas pobierania poświadczeń z użyciem filtra credentialName. Bez filtra pole jest pomijane, ale z filtrem już nie, co prowadzi do wycieku zaszyfrowanych danych.

Flowise przed wersją 3.1.2 zawiera podatność na masowe przypisanie w endpointcie aktualizacji chatflow. Umożliwia ona uwierzytelnionemu użytkownikowi modyfikację właściwości kontrolowanych przez serwer, takich jak deployed, isPublic, workspaceId, oraz przeniesienie zasobu do innego obszaru roboczego.

Podatność typu mass assignment w Flowise pozwala uwierzytelnionym użytkownikom na modyfikację właściwości kontrolowanych przez serwer, takich jak workspaceId, podczas aktualizacji narzędzia. Brak walidacji po stronie serwera umożliwia przypisanie narzędzi do dowolnych przestrzeni roboczych.

W FlowiseAI Flowise do wersji 3.0.12 wykryto lukę w funkcji verify pliku packages/server/src/enterprise/services/account.service.ts komponentu Endpoint. Manipulacja prowadzi do ujawnienia informacji; atak jest możliwy zdalnie, ale o wysokiej złożoności i trudnej wykorzystywalności. Exploit jest publiczny, zaleca się aktualizację komponentu.

FlowiseAI Flowise w wersjach do 3.0.12 zawiera podatność w komponencie User Controller Handler, polegającą na manipulacji argumentami userId/organizationId/workspaceId/email, co prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.

W FlowiseAI Flowise do wersji 3.0.12 wykryto lukę w funkcji Login pliku packages/server/src/enterprise/services/account.service.ts komponentu API Response Handler. Manipulacja prowadzi do ujawnienia informacji; atak jest możliwy zdalnie, o wysokiej złożoności i trudnej wykorzystywalności. Zaleca się aktualizację komponentu.

Flowise w wersjach przed 3.0.5 zawiera podatność XSS, którą można wywołać za pomocą elementu FORM i elementu INPUT, gdy administrator wyświetla dziennik czatu.

Flowise w wersji 2.2.3 i wcześniejszych jest podatny na wstrzykiwanie SQL przez parametr tableName w komponencie Postgres_VectorStores.