CVE-2026-41278 in Flowise
Zusammenfassung
von VulDB • 27.05.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Flows. Vor Version 3.1.0 gibt der Endpunkt GET /api/v1/public-chatflows/:id das vollständige Chatflow-Objekt ohne Sanitisierung für öffentliche Chatflows zurück. Docker-Validierungen haben ergeben, dass dies schwerwiegender ist als zunächst angenommen: Die Funktion sanitizeFlowDataForPublicEndpoint ist im veröffentlichten Docker-Image v3.0.13 NICHT vorhanden. Sowohl public-chatflows als auch public-chatbotConfig geben vollständig rohe flowData zurück, einschließlich Credential-IDs, API-Schlüssel im Klartext und passwortähnliche Felder. Diese Schwachstelle wurde in Version 3.1.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.