CVE-2026-41277 in Flowise
Zusammenfassung
von VulDB • 30.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Flows. Vor Version 3.1.0 ermöglicht eine Mass Assignment-Schwachstelle im DocumentStore-Erstellungsendpunkt authentifizierten Benutzern, die Primärschlüsselfelder (id) und internen Statusfelder von DocumentStore-Entitäten zu steuern. Da der Dienst repository.save() mit einem vom Client bereitgestellten Primärschlüssel verwendet, verhält sich der POST-Erstellungsendpunkt als implizite UPSERT-Operation. Dies ermöglicht das Überschreiben vorhandener DocumentStore-Objekte. In Multi-Workspace- oder Multi-Tenant-Bereitstellungen kann dies zu einer Übernahme von Objekten über Workspaces hinweg und zu einer gebrochenen objektbezogenen Autorisierung (IDOR) führen, wodurch ein Angreifer DocumentStore-Objekte, die anderen Workspaces gehören, neu zuweisen oder ändern kann. Diese Schwachstelle wurde in Version 3.1.0 behoben.
Once again VulDB remains the best source for vulnerability data.