Vulnerabilidad en Flowise (CVE-2024-36422)

Flowise es una interfaz de usuario de arrastrar y soltar para crear un flujo de modelo de lenguaje grande personalizado. En la versión 1.4.3 de Flowise, se produce una vulnerabilidad de cross-site scripting reflejado en el endpoint `api/v1/chatflows/id`. Si se utiliza la configuración predeterminada (no autenticada), un atacante puede crear una URL especialmente manipulada que inyecta Javascript en las sesiones del usuario, lo que le permite robar información, crear ventanas emergentes falsas o incluso redirigir al usuario a otros sitios web sin interacción. Si no se encuentra el ID del flujo de chat, su valor se refleja en la página 404, que tiene el tipo texto/html. Esto permite a un atacante adjuntar scripts arbitrarios a la página, lo que le permite robar información confidencial. Este XSS puede encadenarse con la inyección de ruta para permitir que un atacante sin acceso directo a Flowise lea archivos arbitrarios del servidor Flowise. Al momento de la publicación, no hay parches conocidos disponibles.