Podatności Flowise

Podatność typu mass assignment w Flowise pozwala uwierzytelnionym użytkownikom na modyfikację właściwości kontrolowanych przez serwer, takich jak workspaceId, podczas aktualizacji narzędzia. Brak walidacji po stronie serwera umożliwia przypisanie narzędzi do dowolnych przestrzeni roboczych.

Flowise w wersjach przed 3.0.5 zawiera podatność XSS, którą można wywołać za pomocą elementu FORM i elementu INPUT, gdy administrator wyświetla dziennik czatu.

Flowise w wersji 2.2.3 i wcześniejszych jest podatny na wstrzykiwanie SQL przez parametr tableName w komponencie Postgres_VectorStores.