Podatności Flowise

Podatność w Flowise 3.1.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez endpoint /api/v1/prediction/<flowId>. Nie podano dodatkowych szczegółów.

Flowise przed wersją 3.1.3 zawiera podatność ucieczki z piaskownicy vm2, która pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez obejście walidacji locale moment.js i załadowanie złośliwych plików JavaScript z magazynu dokumentów.

Flowise przed wersją 3.1.3 zawiera podatność obejścia walidatora kodu Python opartego na regex w węzłach CSV i Airtable Agent, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwego kodu przez prompt injection.

Podatność w Flowise (do wersji 3.1.4) w integracji OpenAI Assistants pozwala uwierzytelnionym atakującym na dostęp do danych uwierzytelniających innych obszarów roboczych poprzez podanie dowolnego UUID poświadczeń bez weryfikacji własności obszaru roboczego.

Flowise przed wersją 3.1.3 zawiera podatność w punkcie końcowym POST /api/v1/oauth2-credential/refresh/:credentialId, który jest na liście dozwolonych i nie wymaga uwierzytelnienia. Atakujący ze znajomością ID poświadczenia może odświeżyć token OAuth i uzyskać dostęp do połączonej usługi ofiary oraz wyczerpać limit odświeżania tokenów.

Flowise przed wersją 3.1.3 zawiera podatność na wstrzyknięcie promptu w węźle CSV Agent, co pozwala na wykonanie złośliwego skryptu Pythona w środowisku Pyodide bez sandboxa. Atakujący może wykorzystać to do wykonania dowolnego kodu w kontekście konta usługi.

Flowise przed wersją 3.1.3 zawiera podatność w walidatorze kodu Python, która pozwala na ominięcie zabezpieczeń za pomocą homoglifów Unicode, umożliwiając wykonanie dowolnego kodu Python w Pyodide oraz pełne wykonanie poleceń systemowych na hoście Flowise.

Flowise przed wersją 3.1.3 zawiera podatność w CSVAgent, która pozwala atakującemu na wstrzyknięcie kodu do szablonu Pythona wykonywanego przez Pyodide, co umożliwia wykonanie dowolnych poleceń systemowych na hoście Flowise. Nieuwierzytelnione żądanie do API może wywołać zdalne wykonanie kodu.

Flowise to interfejs typu 'przeciągnij i upuść' do budowania spersonalizowanych przepływów dużych modeli językowych. Przed wersją 3.1.3, obejście dla CVE-2025-8943 blokowało flagi -y i --yes w npx, ale plik packages/components/nodes/tools/MCP/core.ts odrzucał tylko PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH i NODE_OPTIONS według dokładnej nazwy zmiennej środowiskowej. Ponieważ npm czyta konfigurację ze zmiennych npm_config_*, ustawienie npm_config_yes=true odtwarzało zachowanie --yes bez użycia zablokowanej flagi, powodując automatyczną instalację i wykonanie nazwanego pakietu przez npx podczas uruchamiania niestandardowego serwera MCP. Ten problem został naprawiony w wersji 3.1.3.

Flowise to interfejs typu 'przeciągnij i upuść' do budowania spersonalizowanych przepływów dużych modeli językowych. Przed wersją 3.1.3, nieuwierzytelniony endpoint POST /api/v1/prediction/:id akceptował obiekt overrideConfig i bezwarunkowo rozprzestrzeniał go do wewnętrznych obiektów flowConfig i flowData w plikach packages/server/src/utils/buildChatflow.ts i packages/server/src/utils/index.ts bez sprawdzania apiOverrideStatus. To pozwalało nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych właściwości do kontekstu wykonania przepływu dowolnego publicznego chatflow, nadpisywanie wartości takich jak chatId, sessionId i chatHistory oraz kontrolowanie wartości rozwiązywanych przez zmienne szablonu $flow.* używane przez węzły przepływu. Ten problem został naprawiony w wersji 3.1.3.

Flowise przed wersją 3.1.0 (wersje 3.0.13 i wcześniejsze) używa słabych, zakodowanych na stałe domyślnych sekretów JWT ('auth_token', 'refresh_token') oraz domyślnych wartości odbiorcy i wystawcy ('AUDIENCE', 'ISSUER') w oprogramowaniu pośredniczącym uwierzytelniania passport. Gdy zmienne środowiskowe nie są ustawione, aplikacja po cichu używa tych publicznie znanych domyślnych wartości, co pozwala atakującemu na fałszowanie ważnych tokenów JWT i podszywanie się pod dowolnego użytkownika, w tym administratorów.

Flowise przed wersją 3.1.0 (dotknięte wersje 3.0.13 i wcześniejsze) używa słabego, zakodowanego na stałe domyślnego sekretu ('flowise') dla middleware express-session, gdy zmienna środowiskowa EXPRESS_SESSION_SECRET nie jest ustawiona. Ponieważ ten domyślny sekret jest publicznie widoczny w kodzie źródłowym, atakujący może sfałszować ważne podpisane ciasteczka sesji, aby podszyć się pod dowolnego użytkownika i ominąć uwierzytelnianie.

Flowise do wersji 2.2.7 nie sanityzuje segmentów ścieżki w punkcie końcowym loadera document-store, co pozwala nieuwierzytelnionym atakującym zapisywać pliki poza katalogiem przechowywania. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalog i nadpisać pliki aplikacji ładowane przy starcie, co prowadzi do zdalnego wykonania kodu.

Flowise przed wersją 3.0.6 (dotknięte wersje 2.2.7-patch.1 i wcześniejsze) zawiera podatność na zdalne wykonanie kodu bez sandboksa w funkcji Custom MCP. Atakujący może wysłać spreparowany ładunek JSON z nagłówkiem 'x-request-from: internal' do endpointu /api/v1/node-load-method/customMCP, aby wykonać dowolne polecenia systemowe, co prowadzi do całkowitego przejęcia kontenera lub serwera.

Flowise przed wersją 3.0.6 (dotknięte wersje 2.2.8 i wcześniejsze) zawiera podatność na dowolny dostęp do plików z powodu braku walidacji, czy parametry chatflowId i chatId są UUID lub liczbami w operacjach na plikach. Poprzez podanie wartości typu path traversal (np. '../../../../../tmp') jako identyfikatora chatflow, nieuwierzytelniony atakujący może użyć endpointu /api/v1/chatflows (poprzez addBase64FilesToStorage) do zapisu dowolnych plików oraz endpointów /api/v1/get-upload-file i /api/v1/openai-assistants-file/download (poprzez streamStorageFile) do odczytu dowolnych plików. Dowolny zapis plików może prowadzić do zdalnego wykonania kodu.

Flowise w wersji do 2.2.4 zawiera nieuwierzytelnioną podatność na dowolne przesyłanie plików w punkcie końcowym /api/v1/attachments, gdy storageType jest ustawiony na local. Atakujący mogą wykorzystać przejście ścieżki w parametrach chatId i chatflowId, aby przesłać złośliwe pliki do dowolnych katalogów, co może prowadzić do zdalnego wykonania kodu i przejęcia serwera.

Flowise zawiera podatność polegającą na pominięciu uwierzytelniania w niechronionym punkcie końcowym /api/v1/account/register, co umożliwia nieuwierzytelnionym atakującym tworzenie kont użytkowników. Zdalni atakujący mogą wykorzystać ten punkt końcowy do rejestracji dowolnych kont i uwierzytelnienia się w systemie, uzyskując pełny dostęp do API bez poświadczeń.

Flowise w wersjach przed 2.1.4 pozwala na wstrzykiwanie konfiguracji do Chainflow podczas wykonywania za pomocą opcji overrideConfig. Funkcja ta jest domyślnie włączona i nie posiada listy dozwolonych zmiennych, co umożliwia atakującym zdalne wykonanie kodu oraz inne poważne ataki.

Podatność w Flowise przed wersją 3.1.2 umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu poprzez przesłanie dowolnego JavaScript do węzła Custom JS Function. Brak autoryzacji na ścieżce POST /api/v1/node-custom-function.

Flowise przed wersją 3.1.2 zawiera podatność na masowe przypisanie w punkcie końcowym aktualizacji asystenta. Uwierzytelniony użytkownik może modyfikować właściwości kontrolowane przez serwer, takie jak workspaceId, createdDate i updatedDate. Brak walidacji po stronie serwera i kontroli autoryzacji umożliwia atakującemu manipulację polem workspaceId i przenoszenie asystentów do dowolnych przestrzeni roboczych.

W Flowise przed wersją 3.1.2, endpoint checkBasicAuth weryfikuje dane uwierzytelniające w postaci jawnego tekstu bez ograniczania szybkości żądań i z bezpośrednim porównaniem. Umożliwia to atakującemu przeprowadzenie ataku brute-force na hasła.

W Flowise przed wersją 3.1.2 istnieje podatność masowego przypisania w endpointcie aktualizacji zmiennych. Uwierzytelniony atakujący może modyfikować właściwości kontrolowane przez serwer, takie jak workspaceId, co może naruszyć izolację dzierżawców w środowiskach wieloobszarowych.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów dużych modeli językowych. W wersjach przed 3.1.0, kilka implementacji narzędzi bezpośrednio importuje i wywołuje surowe klienty HTTP, co stwarza lukę bezpieczeństwa.

Flowise w wersjach od 3.0.1 do 3.0.8 oraz wszystkich późniejszych z włączoną opcją 'ALLOW_BUILTIN_DEP' zawiera podatność na zdalne wykonanie kodu (RCE) z ominięciem sandboksa Node VM. Uwierzytelniony atakujący może wykorzystać zintegrowane moduły Puppeteer i Playwright do uruchomienia dowolnego pliku wykonywalnego na hoście.

Flowise przed wersją 3.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w węzłach ładowania dokumentów Cheerio, Playwright i Puppeteer, które omijają ochronę SSRF. Atakujący mogą podać dowolne adresy URL, aby pobrać metadane chmury, usługi wewnętrzne i zasoby sieci prywatnej, a treść odpowiedzi jest zwracana jako tekst dokumentu.

Flowise przed wersją 3.1.4 nie sanityzuje parametru overrideConfig.sessionId przed użyciem go w zapytaniach MongoDB w węźle MongoDBMemory. Nieuwierzytelnieni atakujący mogą przesłać obiekty operatorów MongoDB przez API predykcji, aby odczytać historię czatów innych użytkowników ze współdzielonej kolekcji.

Flowise w wersjach przed 3.1.4 zawiera podatność na wstrzyknięcie skryptu w przepływach pracy budowania obrazów Docker, gdzie dane wejściowe workflow_dispatch są bezpośrednio interpolowane do bloków uruchamiania powłoki. Atakujący z uprawnieniami zapisu do repozytorium mogą wstrzyknąć metaznaki powłoki poprzez dane wejściowe, takie jak tag_version i node_version.

Flowise przed wersją 3.1.4 nie waliduje parametrów baseURL w węzłach modeli czatu, co pozwala uwierzytelnionym użytkownikom na przekierowanie żądań do dowolnych hostów. Atakujący z uprawnieniami chatflows:create lub chatflows:update mogą eksfiltrować klucze API dostawcy LLM, przekierowując żądania do usług metadanych chmury lub wewnętrznych hostów.

Flowise przed wersją 3.1.4 nie waliduje ścieżek plików w węźle SQL Database Chain podczas łączenia się z bazami SQLite, co pozwala uwierzytelnionym atakującym na zapis dowolnych plików. Atakujący mogą zapisywać złośliwe bazy SQLite w katalogach systemowych lub wstrzykiwać pliki do katalogu głównego serwera WWW, aby wykonywać polecenia lub przeprowadzać ataki XSS.

Flowise w wersjach przed 3.1.4 nie egzekwuje kontroli autoryzacji na poziomie obszaru roboczego w endpointach openai-realtime. Uwierzytelniony użytkownik może podać nieprzypisany do obszaru chatflowid i uzyskać dostęp do narzędzi z ChatFlows należących do innych obszarów roboczych.

Flowise w wersjach przed 3.1.4 zawiera lukę obejścia walidacji w konfiguracji serwera MCP, umożliwiającą uwierzytelnionemu atakującemu zdalne wykonanie kodu poprzez niezwalidowany parametr cwd. Atakujący może obejść walidację ścieżki, używając czystych nazw plików w tablicy args przy jednoczesnej kontroli katalogu roboczego.

Flowise w wersjach przed 3.1.4 zawiera lukę zdalnego wykonania kodu w węźle Custom MCP, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez podanie nazw pakietów npx w parametrze mcpServerConfig. Atakujący może wywołać npx z kontrolowanymi przez siebie pakietami npm.

Flowise w wersjach przed 3.1.4 nie ogranicza API członkostwa w organizacjach i obszarach roboczych przedsiębiorstwa do dzierżawy wywołującego, umożliwiając uwierzytelnionym użytkownikom podanie dowolnych identyfikatorów organizacji. Atakujący może dodać siebie jako właściciela organizacji, tworzyć obszary robocze i uzyskać dostęp administracyjny do organizacji ofiar.

Flowise w wersjach przed 3.1.4 zawiera luki w autoryzacji między dzierżawami w endpointach Enterprise, które nie weryfikują własności zasobów przed operacjami. Atakujący z dostępem Enterprise może usuwać dowolne obszary robocze, zapraszać siebie do innych organizacji, modyfikować role między organizacjami i nadużywać przechowywanych sekretów SSO.

W FlowiseAI Flowise do wersji 3.0.2 wykryto podatność w funkcji axios.post w pliku packages/server/src/controllers/evaluations/index.ts komponentu Evaluations Endpoint. Manipulacja argumentem Host/X-Forwarded-Proto prowadzi do server-side request forgery. Atak można przeprowadzić zdalnie, a exploit jest publiczny. Poprawka dostępna jest w wersji 3.1.3 (patch 700137738bcaebefd4709021f6d6b0abcd7df0ac).

Flowise w wersjach przed 3.1.4 zawiera nieuwierzytelnioną podatność typu denial of service w endpoincie /api/v1/text-to-speech/abort, który przyjmuje parametry chatflowId i chatId bez weryfikacji właściciela. Atakujący może zakończyć aktywne predykcje chatflow dowolnego użytkownika, podając znane identyfikatory chatflow i chat.

Flowise w wersjach do 3.1.3 włącznie udostępnia endpoint POST /api/v1/node-load-method/:name bez sprawdzania uprawnień na poziomie trasy, wywołując loadMethods z parametrami nodeName, loadMethod, inputs i credential kontrolowanymi przez atakującego. Poświadczenie jest rozwiązywane po surowym Credential.id przez getCredentialData() i odszyfrowywane bez weryfikacji Credential.workspaceId względem aktywnego lub współdzielonego workspace wywołującego. Uwierzytelniony użytkownik o niskich uprawnieniach (lub klucz API workspace) z jednego workspace może podać identyfikator poświadczenia należącego do innego workspace, powodując że Flowise działa jako confused deputy i wykonuje wywołania do zewnętrznych dostawców z poświadczeniem ofiary, zwracając metadane dostawcy atakującemu. Dotyczy to m.in. Google Drive listFiles, Google Sheets listSpreadsheets i AWS DynamoDB KV Storage listTables. Sam sekret poświadczenia nie jest zwracany atakującemu. Podatność naprawiono w wersji 3.1.4.

Flowise przed 3.1.4 zawiera podatność typu broken access control w GET /api/v1/organizationuser, która pozwala każdemu uwierzytelnionemu członkowi organizacji pobrać pełny rekord użytkownika będącego właścicielem organizacji, w tym hash hasła bcrypt i tokeny tymczasowe. Atakujący może odpytać endpoint z dowolnym identyfikatorem użytkownika, aby uzyskać hash poświadczeń właściciela do złamania offline.

Flowise przed wersją 3.1.3 zawiera niekompletną podatność na redakcję poświadczeń w punkcie końcowym GET /api/v1/credentials/:id, który zwraca odszyfrowane sekrety w postaci zwykłego tekstu. Uwierzytelnieni użytkownicy z uprawnieniem credentials:view mogą pobierać wrażliwe dane, w tym adresy URL połączeń z bazami danych z osadzonymi hasłami, JSON kont usług chmurowych z kluczami prywatnymi oraz klucze API, wywołując ten punkt końcowy.

Flowise przed wersją 3.1.4 nie waliduje widoczności chatflow w nieuwierzytelnionym punkcie końcowym zamiany tekstu na mowę, co pozwala atakującym na nadużywanie poświadczeń TTS prywatnych chatflow. Nieuwierzytelnieni atakujący mogą generować nieograniczoną liczbę plików audio tekstu na mowę, używając zapisanych kluczy API OpenAI lub ElevenLabs, podając prawidłowy UUID chatflow, co generuje koszty na koncie właściciela chatflow.

Flowise przed wersją 3.1.3 zawiera podatność zdalnego wykonania kodu w węźle Custom MCP, gdy CUSTOM_MCP_PROTOCOL jest ustawiony na stdio, pozwalając uwierzytelnionym użytkownikom na wykonanie dowolnych poleceń poprzez manipulację zmiennymi środowiskowymi i argumentami poleceń.

Flowise przed wersją 3.1.3 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w punkcie końcowym GET /api/v1/organization/customer-default-source, która umożliwia uwierzytelnionym atakującym dostęp do danych płatności i profili innych klientów poprzez manipulację parametrem customerId. Atakujący mogą enumerować przewidywalne identyfikatory klientów, aby pobrać wrażliwe informacje, w tym adresy e-mail, salda kont, typy walut i konfiguracje rozliczeń bez kontroli autoryzacji.

Flowise przed wersją 3.1.3 zawiera podatność wstrzykiwania kodu w parametrze customReadCSV w węźle CSV Agent, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu Python. Walidator używa statycznej listy blokad regex, którą można obejść przez zaciemnianie.

Flowise przed wersją 3.1.3 zawiera podatność wstrzykiwania kodu w węźle Airtable Agent, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu Python poprzez obejście listy blokad pythonCodeValidator za pomocą zaciemniania.

Flowise przed wersją 3.1.3 zawiera podatność ucieczki z piaskownicy w pythonCodeValidator.ts, która nie blokuje natywnych metod Pandas DataFrame, takich jak to_csv, to_json, pipe i query. Uwierzytelnieni atakujący mogą to wykorzystać do eksfiltracji przesłanych danych CSV lub zapisu dowolnych plików w systemie plików serwera.

Flowise (pakiety flowise i flowise-components) w wersjach do 3.1.2 zawiera podatność ucieczki z piaskownicy vm2/@flowiseai/nodevm. Uwierzytelniony użytkownik z dostępem do /api/v1/node-custom-function może uciec z piaskownicy, podając kontrolowane parametry executablePath i args do puppeteer.launch(), co prowadzi do wykonania dowolnych poleceń systemowych i ujawnienia plików hosta.

Flowise w wersjach od 2.2.4 do 3.1.4 ma brak autoryzacji w punkcie końcowym POST /api/v1/openai-assistants-file/download, który jest na globalnej liście dozwolonych bez uwierzytelnienia. Niezalogowany atakujący może uzyskać dostęp do prywatnych plików z dowolnego chatflow, w tym z innych organizacji.

Flowise do wersji 3.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w zabezpieczeniu SSRF zaimplementowanym w httpSecurity.ts, gdzie DEFAULT_DENY_LIST pomija endpoint metadanych Oracle Cloud Infrastructure (192.0.0.192) oraz Alibaba Cloud (100.100.100.200). Umożliwia to uwierzytelnionym atakującym zmuszenie serwera do wysyłania dowolnych żądań GET do usług metadanych instancji chmurowych, a w przypadku publicznych chatflow z węzłami pobierania URL możliwy jest dostęp bez uwierzytelnienia.

Flowise do wersji 3.1.4 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do punktu końcowego odświeżania poświadczeń OAuth2 poprzez wykorzystanie dopasowania białej listy opartej na prefiksie w middleware uwierzytelniającym. Atakujący mogą wysłać żądanie POST do trasy odświeżania z końcowym identyfikatorem poświadczeń, aby ominąć wszystkie kontrole uwierzytelniania i autoryzacji, wywołując nieautoryzowaną rotację tokenów OAuth i potencjalnie zakłócając zależne integracje OAuth.

Flowise do wersji 3.1.4 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom przestrzeni roboczej na wykonywanie nieautoryzowanych operacji na magazynie dokumentów poprzez dostęp do niechronionych punktów końcowych mutacji. Atakujący posiadający tylko uprawnienia do podglądu mogą wysyłać bezpośrednie żądania HTTP do tras upsert i odświeżania, aby wywołać ingerencję dokumentów, odświeżyć zawartość bazy wektorowej, zużyć kredyty API osadzania i modyfikować bazy wiedzy używane przez chatflow.