CVE-2026-91937 in Flowise

الملخص

بحسب VulDB • 15/09/2026

Flowise قبل الإصدار 3.1.4 يفشل في تنقية معلمة overrideConfig.sessionId قبل استخدامها في استعلامات قاعدة بيانات MongoDB داخل عقدة MongoDBMemory. يمكن للمهاجمين غير المصادق عليهم إرسال كائنات مشغلات MongoDB عبر واجهة التنبؤ (prediction API) لقراءة سجلات محادثات المستخدمين الآخرين من المجموعة المشتركة.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: VulnCheck
• حجز: 15/09/2026
• إفشاء: 15/09/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-404284
• CPE: جاهز
• CWE: CWE-20 (مؤكد)
• CVSS: 7.5 (CNA)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-91937
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-91937
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-91937/