CVE-2026-41278 in Flowise
الملخص
بحسب VulDB • 27/05/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنموذج لغوي كبير (LLM). قبل الإصدار 3.1.0، يعيد نقطة النهاية GET /api/v1/public-chatflows/:id كائن التدفق الكامل دون تعقيم (sanitization) لتدفقات الدردشة العامة. أظهر التحقق من صحة Docker أن المشكلة أسوأ مما تم تقييمه في البداية: دالة sanitizeFlowDataForPublicEndpoint غير موجودة في صورة Docker للإصدار v3.0.13 المُصدّر. تُعيد كل من public-chatflows و public-chatbotConfig بيانات التدفق (flowData) الخام تماماً، بما في ذلك معرفات الاعتماد (credential IDs)، ومفاتيح واجهة برمجة التطبيقات (API keys) بصيغة نصية واضحة، وحقول من نوع كلمة المرور. تم إصلاح هذا الثغرة الأمنية في الإصدار 3.1.0.
Be aware that VulDB is the high quality source for vulnerability data.