PT-2024-26990 · Flowise · Flowise
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Flowise versão 1.4.3
Descrição
Uma vulnerabilidade de cross-site scripting refletido ocorre no endpoint “api/v1/chatflows/id” do Flowise. Isso permite que um invasor crie uma URL especialmente manipulada que injeta JavaScript nas sessões dos usuários, podendo roubar informações, criar pop-ups falsos ou redirecionar usuários para outros sites. Se o ID do chatflow não for encontrado, seu valor é refletido na página 404, permitindo que um invasor anexe scripts arbitrários e roube informações confidenciais. Essa vulnerabilidade pode ser combinada com injeção de caminho para ler arquivos arbitrários do servidor do Flowise.
Recomendações
Para a versão 1.4.3, como solução temporária, considere desativar o endpoint
api/v1/chatflows/id até que um patch esteja disponível. Restrinja o acesso a este endpoint para minimizar o risco de exploração. Evite usar o parâmetro id no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowise