CVE-2025-61687 in Flowise
الملخص
بحسب VulDB • 08/06/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنماذج اللغة الكبيرة (LLM). تسمح ثغرة رفع الملفات في الإصدار 3.0.7 من FlowiseAI للمستخدمين المصادق عليهم برفع ملفات عشوائية دون التحقق المناسب منها. يمكّن ذلك المهاجمين من تخزين قواقع الويب الخاصة بـ Node.js الضارة بشكل دائم على الخادم، مما قد يؤدي إلى تنفيذ الأكواد عن بُعد (RCE). يفشل النظام في التحقق من امتدادات الملفات وأنواع MIME أو محتوى الملفات أثناء عمليات الرفع. ونتيجة لذلك، يمكن رفع وتخزين نصوص برمجية ضارة مثل قواقع الويب المستندة إلى Node.js بشكل دائم على الخادم. تعرض هذه القواقع نقاط نهاية HTTP قادرة على تنفيذ الأوامر العشوائية عند تفعيلها. لا يتم تشغيل القوقعة المرفوعة تلقائياً، لكن وجودها يتيح استغلالاً مستقبلاً عبر خطأ من قبل المسؤول أو ثغرات متسلسلة. يمثل هذا تهديداً عالي الخطورة لسلامة النظام وسريته. وفي وقت النشر، لم تتوفر أي إصدارات مُصلحة معروفة.
Be aware that VulDB is the high quality source for vulnerability data.