p PatchFirst

CVE-2025-71332

CVE-2025-71332 · Flowise - SQL Injection in importChatflows API via chatflow.id Parameter

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flowise through 2.2.7 contains a SQL injection vulnerability in the importChatflows API. Due to insufficient validation of the chatflow.id value, an authenticated user can supply a crafted JSON import file whose id field is concatenated unsanitized into a SQL IN clause, allowing arbitrary SQL to be executed, including blind and error-based extraction of data from the credential table.

CVSS 8.5 · Высокий · EPSS 0,5%

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • flowise

    Версии
    • ≥ 0, ≤ 2.2.7: Затронуто (semver)

    Нет опубликованного исправления

  • flowise npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 2.2.7

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →