Flowise حتى 3.1.4: الهروب من بيئة المعزولة للوظائف المخصصة وتنفيذ أوامر عن بُعد عبر LocalFileStore

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Flowise حتى الإصدار 3.1.4 على ثغرة هروب من بيئة المعزولة تسمح للمستخدمين المصادق عليهم بتنفيذ أوامر نظام التشغيل من خلال إساءة استخدام وحدات langchain و mammoth المدرجة في القائمة المسموح بها عندما تكون ALLOW_BUILTIN_DEP=true. يمكن للمهاجمين تقديم JavaScript إلى /api/v1/node-custom-function لكتابة ملف داخل حزمة mammoth عبر LocalFileStore واستدعائه عبر require، مما يتيح الهروب من vm2 بمستوى مستخدم عملية Flowise.

المعالجة

1. أحصِ جميع نشرات FlowiseAI Flowise، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/flowise-through-3.1.4-custom-function-sandbox-escape-rce-via-localfilestore
• مرجعhttps://github.com/FlowiseAI/Flowise
• مرجعhttps://github.com/FlowiseAI/Flowise/blob/a65f81bb43ef66d3ce734bf0dff4223ae8041c95/packages/components/src/utils.ts#L1733
• مرجعhttps://github.com/FlowiseAI/Flowise/blob/a65f81bb43ef66d3ce734bf0dff4223ae8041c95/packages/components/src/utils.ts#L55-L114
• مرجعhttps://github.com/advisories/GHSA-9gvv-qjj3-2p6g
• مرجعhttps://github.com/soovwv/cve/blob/a37354aff1e78c0601772e7716f5318c473e8640/CVE-2026-119978.md