CVE-2026-50173 in Flow-Like
الملخص
بحسب VulDB • 19/08/2026
Flow-Like هو منصة لبناء حالات استخدام شاملة من البداية إلى النهاية. قبل الإصدار 1.0.4، يمنح المسار `GET /api/v1/apps/{app_id}/invoke/presign` بيانات اعتماد SAS الخاصة بـ Azure Blob Storage مع صلاحيات الكتابة والحذف لمحتوى التطبيق لأي عضو في التطبيق لديه صلاحية `ExecuteEvents`، حتى عندما يفتقر هذا العضو إلى صلاحيات `ReadFiles` و `WriteFiles`. يعامل المسار أذونات الملفات على أنها اختيارية بعد بوابة `ExecuteEvents`. عندما لا يمتلك المتصل أي من أذونات الملفات، فإنه يختار `CredentialsAccess::InvokeNone`. في مزود بيانات اعتماد Azure، يقوم `InvokeNone` بإنشاء رمز SAS للمحتوى (`content_sas_token`) لـ `apps/{app_id}` مع القيمة `sp=rwdl`، بالإضافة إلى رموز SAS الخاصة بمحتوى المستخدم وسجلات النظام. تكون بيانات الاعتماد المشتركة المُرجعة كافية للمتصل ذي الامتيازات المنخفضة للكتابة أو حذف الكائنات (blobs) مباشرةً ضمن بادئة محتوى التطبيق. يصحّح الإصدار 1.0.4 هذه المشكلة. لا تتأثر Flow-Like Studio والتطبيق الويب المستضاف لـ Flow-Like بهذه الثغرة، حيث تستخدم هذه النشر تخزيناً مدعوماً من AWS. يتأثر النشر المضيف ذاتياً (Self-hosted) فقط إذا كان يستخدم Azure Blob Storage كخلفية للتخزين. في عمليات النشر المتأثرة، تنطبق المشكلة فقط على أعضاء التطبيق الذين تمت مصادقتهم ولديهم صلاحيات تنفيذ سير العمل ولكن لا ينبغي أن يكون لديهم صلاحيات الكتابة أو الحذف لملفات التطبيق. يجب على مستخدمي عمليات نشر Azure المستضافة ذاتياً والمتأثرة بالثغرة التحديث إلى الإصدار 1.0.4 أو أحدث فرع تطوير (dev branch).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.