CVE-2026-96440: Path Traversal в Flowring Agentflow 4.0 позволяет записывать файлы вне каталога загрузки
В Flowring Agentflow 4.0 обнаружена уязвимость Path Traversal (CVE-2026-96440) с оценкой CVSS 7.1 (HIGH). Аутентифицированный удалённый пользователь может через параметр path в endpoint /WebAgenda/download/uploadFile.jsp записать файлы в произвольные каталоги за пределами предназначенной для загрузки директории. Уязвимы версии до 2023/03/24.
Подробности
Уязвимость затрагивает Flowring Technology Corp Agentflow 4.0 в версиях до 2023/03/24. Проблема локализована в API-эндпоинте /WebAgenda/download/uploadFile.jsp. Из-за недостаточной проверки параметра path удалённый аутентифицированный пользователь может выйти за пределы каталога, предназначенного для загрузки файлов, и записать данные в произвольные locations файловой системы. Тип уязвимости — CWE-22 (Improper Limitation of a Pathname to a Restricted Directory, Path Traversal). Это класс проблем, при которых приложение не нейтрализует специальные элементы пути (например, последовательности вида ../), что позволяет обращаться к файлам и каталогам за пределами ограниченной директории. В данном случае речь идёт не о чтении, а о записи файлов в нежелательные расположения, что существенно повышает риски: злоумышленник может разместить вредоносный контент в директориях, доступных веб-серверу, или перезаписать критичные файлы. Для эксплуатации требуется аутентификация, что несколько снижает вероятность массовых атак, однако в корпоративной среде учётные записи сотрудников или сервисные аккаунты нередко оказываются скомпрометированными, а внутренние системы могут быть доступны злоумышленнику после первичного проникновения. Оценка CVSS 7.1 (HIGH) отражает серьёзность последствий: успешная эксплуатация ведёт к нарушению целостности данных и потенциально к компрометации сервера.Что делать
Основная рекомендация — обновить Flowring Agentflow 4.0 до версии 2023/03/24 или более поздней, где уязвимость устранена. Если обновление невозможно в краткосрочной перспективе, следует рассмотреть временные меры: - ограничить сетевой доступ к эндпоинту /WebAgenda/download/uploadFile.jsp, разрешив его только доверенным сегментам сети; - применять строгую валидацию и нормализацию параметра path на уровне обратного прокси или WAF, блокируя последовательности ../ и абсолютные пути; - проверить журналы веб-сервера и приложения на предмет подозрительных запросов к указанному эндпоинту с аномальными значениями параметра path; - минимизировать права сервисного аккаунта, под которым работает приложение, чтобы ограничить масштаб возможной записи файлов; - обеспечить мониторинг целостности файловой системы в каталогах веб-приложения. Также рекомендуется провести аудит учётных записей, имеющих доступ к Agentflow, и убедиться в отсутствии признаков компрометации. Итог: CVE-2026-96440 — серьёзная уязвимость класса Path Traversal в Flowring Agentflow 4.0, позволяющая аутентифицированному атакующему записывать файлы в произвольные каталоги. Приоритет устранения — высокий: обновление до версии 2023/03/24 или новее, а при невозможности — компенсирующие меры на уровне сетевой периметрии и WAF.Источник: CVE Project (cvelistV5)