majpuv/flowise-arbitrary-file-read-getfilefromstorage
Flowise (< 2.2.4) में getFileFromStorage (storageUtils.ts) में पाथ ट्रैवर्सल के माध्यम से बिना प्रमाणीकरण के मनमाना फ़ाइल पढ़ना। PUT /api/v1/document-store/store/:id में अन-सैनिटाइज़्ड फ़ाइल पथ और मास-असाइनमेंट के संयोजन के कारण होता है। /root/.flowise/encryption.key पढ़कर पूर्ण समझौता करने की अनुमति देता है। CVE-2025-71338 (2.2.4 में ठीक किया गया) से अलग है।
getFileFromStorage) — प्रस्तावित नया CVECVE-2025-71338 से एक अलग भेद्यता (जो write sink है)। यह एक
बिना प्रमाणीकरण के मनमानी फ़ाइल रीड है, Flowise document-store लोडर "rehydrate" पथ में,
1.7.1 – 2.2.3 को प्रभावित करती है, 2.2.4 में ठीक हुई। /root/.flowise/encryption.key को पढ़ने से
वह कुंजी मिलती है जो सभी संग्रहीत प्रदाता क्रेडेंशियल्स को डिक्रिप्ट करती है → पूर्ण क्रेडेंशियल समझौता।
| फ़ाइल | उद्देश्य |
|---|
report.md | नए-CVE प्रस्तुतिकरण: मूल कारण, भेद्यता पथ, CVSS, प्रभाव, प्रभावित संस्करण, समाधान, PoC, मौजूदा CVEs से अंतर |
poc.py | स्व-प्रमाणित PoC (केवल stdlib) — मास असाइनमेंट के माध्यम से लोडर बनाता है, FILE-STORAGE:: रीहाइड्रेट रीड को ट्रिगर करता है, फ़ाइल सामग्री को इन-बैंड प्रिंट करता है |
docker/Dockerfile | संस्करण-पैरामीटरयुक्त लैब इमेज (FROM वास्तविक विक्रेता इमेज; शून्य ओवरले) |
setup.sh | लैब को बनाता/शुरू करता है (FLOWISE_VERSION, डिफ़ॉल्ट 2.1.0); प्रभावित बनाम स्थिर वर्गीकृत करता है |
evidence.txt | लाइव सत्यापन: 2.1.0 और 2.2.3 पर बाइट-सटीक encryption.key एक्सफिल; 2.2.4 पर NOT-EXPLOITABLE |
# start an affected lab (default 2.1.0):
bash setup.sh
# exfiltrate the credential-decryption key (self-proving; no listener):
python3 poc.py http://127.0.0.1:3510 --read-path /root/.flowise/encryption.key
# ground truth:
docker exec <container> cat /root/.flowise/encryption.key
getFileFromStorage(file, ...paths) में path.join(getStoragePath(), ...paths, file) + fs.readFileSync किया जाता है तथा file अनसैनिटाइज़्ड रहता है (raw ≤ 2.2.3, _sanitizeFilename 2.2.4 में जोड़ा गया); file FILE-STORAGE:: लोडर मान के माध्यम से हमलावर द्वारा प्रदान किया जाता है, और गेटिंग loaders[].files[] प्रविष्टि PUT /store/:id मास असाइनमेंट (Object.assign(entity, req.body)) द्वारा जाली बनाई जाती है।