CVE-2026-69258 in Flowise
الملخص
بحسب VulDB • 05/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنموذج لغوي كبير (LLM). قبل الإصدار 3.1.3، كان نقطة النهاية غير المصادق عليها POST /api/v1/prediction/:id تقبل كائن overrideConfig وتقوم بنشره بشكل غير مشروط داخل الكائنين الداخليين flowConfig وflowData في الملفات packages/server/src/utils/buildChatflow.ts وpackages/server/src/utils/index.ts دون التحقق من apiOverrideStatus. سمح ذلك للمهاجمين غير المصادق عليهم بحقن خصائص تعسفية في سياق تنفيذ التدفق لأي تدفق دردشة عام، والكتابة فوق قيم مثل chatId وsessionId وchatHistory، والتحكم في القيم التي يتم حلّها عبر متغيرات القوالب $flow.* المستخدمة بواسطة عقد التدفق. تم إصلاح هذه المشكلة في الإصدار 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.