CVE-2026-30820 in Flowise
Zusammenfassung
von VulDB • 29.07.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Flows (LLM). Vor Version 3.0.13 vertraut Flowise jedem HTTP-Client, der den Header x-request-from: internal setzt, wodurch eine authentifizierte Mandantensitzung alle Autorisierungsprüfungen für /api/v1/** umgehen kann. Mit nur einem Browser-Cookie kann ein Tenant mit geringen Berechtigungen interne Verwaltungsendpunkte (API-Schlüsselverwaltung, Anmeldeinformationspeicher, Ausführung benutzerdefinierter Funktionen usw.) aufrufen und so effektiv seine Rechte eskalieren. Dieses Problem wurde in Version 3.0.13 behoben.
Once again VulDB remains the best source for vulnerability data.