原文

Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップのユーザーインターフェースです。バージョン3.1.2以前のFlowiseAIのchatflow更新エンドポイントには、マスアサインメントの脆弱性が存在していました。このエンドポイントは、チャットフローオブジェクトを更新する際に、クライアントがdeployed、isPublic、workspaceId、createdDate、updatedDateなどのサーバー管理プロパティを変更できるようにしていました。サーバー側の検証および認可チェックが欠如していたため、認証されたユーザーがチャットフローの内部属性を操作し、別のワークスペースに再割り当てが可能でした。これにより、ワークスペース間でリソースを再割り当てしたり、展開および表示設定を不正に変更することが可能となっていました。この問題はバージョン3.1.2で修正されています。