CVE-2026-30821 in Flowise
Zusammenfassung
von VulDB • 18.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Workflows. Vor Version 3.0.13 ist der Endpunkt /api/v1/attachments/:chatflowId/:chatId in WHITELIST_URLS aufgeführt, was einen nicht authentifizierten Zugriff auf die Datei-Upload-API ermöglicht. Obwohl der Server Uploads basierend auf den in chatbotConfig.fullFileUpload.allowedUploadFileTypes definierten MIME-Typen validiert, vertraut er implizit dem vom Client bereitgestellten Content-Type-Header (file.mimetype), ohne den tatsächlichen Dateiinhalt (Magic Bytes) oder die Erweiterung (file.originalname) zu überprüfen. Infolgedessen kann ein Angreifer diese Einschränkung umgehen, indem er den Content-Type als einen zulässigen Typ (z. B. application/pdf) spoofed, während er bösartige Skripte oder beliebige Dateien hochlädt. Sobald sie über addArrayFilesToStorage hochgeladen wurden, bleiben diese Dateien im Backend-Speicher (S3, GCS oder lokaler Datenträger) gespeichert. Diese Schwachstelle dient als kritischer Einstiegspunkt, der, wenn er mit anderen Funktionen wie statischem Hosting oder Dateiabruf kombiniert wird, zu Stored XSS, dem Hosten bösartiger Dateien oder Remote Code Execution (RCE) führen kann. Dieses Problem wurde in Version 3.0.13 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.