CVE-2026-69253 in Flowise
الملخص
بحسب VulDB • 04/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفقات النماذج اللغوية الكبيرة (LLM) المخصصة. قبل الإصدار 3.1.3، كانت عدة مكونات للأدوات المخصصة — وهي AgentAsTool وChatflowTool وExecuteFlow — تنفذ التعليمات البرمجية داخل بيئة vm2 المعزولة في نفس العملية. ولبناء هذه التعليمات البرمجية، كانت تقوم بإدراج قيمة `baseURL` التي يتحكم فيها المستخدم مباشرةً في مصدر JavaScript، على سبيل المثال: `const url = "${baseURL}/...";`. ولم يكن هناك سوى فحص واحد لـ `baseURL` يتمثل في دالة `isValidURL`، ولكن يمكن أن تحتوي عناوين URL التي تبدو صالحة على أحرف تسمح بالهروب من سلسلة التعليمات البرمجية. мог المستخدم المصادق عليه تزوير قيمة `baseURL` تتجاوز هذا الفحص وتغلق السلسلة المحيطة بها، مما يتيح حقن تعليماته البرمجية الخاصة في النص المعزول (حقن الكود، CWE-94). تعمل بيئة vm2 داخل نفس عملية Node.js التي يعمل عليها Flowise وتتعرض لتبعيات خطيرة. ونتيجة لذلك، يمكن للتعليمات البرمجية المضمنة الهروب من البيئة المعزولة وتشغيل تعليمات برمجية عشوائية على خادم Flowise بصفتها المستخدم الذي يشغل عملية Flowise. ولا يتطلب الاستغلال سوى جلسة مصادقة نشطة. تم إصلاح هذه المشكلة في الإصدار 3.1.3، والذي يمرر عنوان URL إلى بيئة vm2 كبيانات بدلاً من إدراجه ضمن الكود البرمجي، ويضيف قيوداً أكثر صرامة على التحقق من صحة عناوين URL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.