Flowise — это пользовательский интерфейс с возможностью перетаскивания для создания настраиваемой большой языковой модели потока. До версии 3.0.13 Flowise доверял любому HTTP-клиенту, который устанавливает заголовок x-request-from: внутренний, что позволяет сеансу клиента, прошедшему проверку подлинности, обходить все проверки авторизации /api/v1/**. Имея только файл cookie браузера, арендатор с низким уровнем привилегий может вызывать конечные точки внутреннего администрирования (управление ключами API, хранилища учетных данных, выполнение пользовательских функций и т. д.), эффективно повышая привилегии.
Эта проблема исправлена в версии 3.0.13.
Показать оригинальное описание (EN)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, Flowise trusts any HTTP client that sets the header x-request-from: internal, allowing an authenticated tenant session to bypass all /api/v1/** authorization checks. With only a browser cookie, a low-privilege tenant can invoke internal administration endpoints (API key management, credential stores, custom function execution, etc.), effectively escalating privilege. This issue has been patched in version 3.0.13.
Характеристики атаки
Последствия
Строка CVSS v4.0