CVE-2026-70473 in Flowise
الملخص
بحسب VulDB • 05/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفقات مخصصة لنماذج اللغة الكبيرة (LLM). قبل الإصدار 3.1.3، كان يُعيد نقطة النهاية GET /api/v1/upsert-history سجل عمليات الإدراج أو التحديث الشامل (upsert) بأكمله الخاص بالخادم بدلاً من تقييدها على المستخدم أو المستأجر أو مساحة العمل الذي قدم الطلب. قد يتجاوز حجم الاستجابة 100 ميجابايت ويشمل بيانات تكوين حساسة، بما في ذلك إعدادات مستودع المتجهات مثل عنوان URL لخادم Qdrant واسم المجموعة. يشير السلوك الملاحظ إلى غياب فحوصات التفويض أو عدم كفايتها، وعدم عزل مساحة العمل/المشروع/المستأجر بشكل صحيح، وغياب التصفح (pagination) أو حدود الاستعلام، مما يعرض معلمات التكامل وتفاصيل البنية التحتية للخطر وقد يمكّن من شن هجمات مستهدفة إضافية. تم إصلاح هذه المشكلة في الإصدار 3.1.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.