p PatchFirst

CVE-2025-71333

CVE-2025-71333 · Flowise - Arbitrary File Upload via Unauthenticated /api/v1/attachments Endpoint

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flowise through 2.2.4 contains an unauthenticated arbitrary file upload vulnerability in the /api/v1/attachments endpoint when storageType is set to local. Attackers can exploit path traversal in the chatId and chatflowId parameters to upload malicious files to arbitrary directories, potentially enabling remote code execution and server compromise.

CVSS 9.3 · Критический · EPSS 0,9%

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • flowise

    Версии
    • ≥ 0, ≤ 2.2.4: Затронуто (semver)

    Нет опубликованного исправления

  • flowise npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 2.2.7

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →