CVE-2026-70472 in Flowise
الملخص
بحسب VulDB • 04/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنماذج اللغة الكبيرة (LLM). قبل الإصدار 3.1.3، تقبل نقاط نهاية `openai-assistants-vector-store` في Flowise معلمة اعتمادات يتحكم فيها العميل وتحمّل بيانات الاعتماد بناءً على المعرف دون التحقق مما إذا كانت هذه البيانات تنتمي إلى مساحة العمل الخاصة بالمتصل. تتحقق صلاحيات المسار للمساعدات (`assistants:*`) من إمكانية الوصول إلى الميزات فقط. يمرر وحدة التحكم `req.query.credential` مباشرة إلى الخدمة، والتي تستخدم دالة `findOneBy({ id: credentialId })` لفك تشفير بيانات الاعتماد واستدعاء واجهات برمجة التطبيقات (APIs) الخاصة بـ OpenAI دون التحقق من معرف مساحة العمل (`workspaceId`). إذا عرف المهاجم معرّف اعتمادات لمساحة عمل أخرى، فيمكنه استخدام مفتاح OpenAI الخاص بتلك المساحة لقراءة أو تعديل أو حذف مخازن المتجهات والملفات التابعة للضحية، مما يسبب تأثيراً على الفواتير لحساب الضحية على OpenAI، وانتهاك حدود تعدد المستأجرين. تم إصلاح هذه المشكلة في الإصدار 3.1.3.
Once again VulDB remains the best source for vulnerability data.