CVE-2025-71334

要約

Flowise の 3.0.6 より前のバージョンには、ファイル処理の際に chatflowId と chatId のパラメータが UUID または数値であることを検証していないため、任意のファイルにアクセスできる脆弱性がある。chatflow の ID にパストラバーサルの値を指定すると、認証されていない攻撃者が /api/v1/chatflows エンドポイントで任意のファイルを書き込み、/api/v1/get-upload-file と /api/v1/openai-assistants-file/download エンドポイントで任意のファイルを読み取ることができる。説明文には、任意のファイルの書き込みはリモートコード実行につながる可能性があるとも書かれている。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

Flowise

このタグの新着を RSS で受け取る: Flowise(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る