CVE-2026-69252 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large Language Model-Flows (LLM). Vor Version 3.1.3 war der Endpunkt /api/v1/files nur durch das Feature-Gate „feat:files“ geschützt und führte keine Berechtigungsprüfung über checkPermission für GET- oder DELETE-Anfragen durch. Ein authentifizierter API-Schlüssel mit niedrigen Privilegien und nicht zugehörigen Berechtigungen konnte GET /api/v1/files aufrufen, um Dateien unter dem Stammverzeichnis des Organisationsspeichers aufzulisten, sowie DELETE /api/v1/files?path=... verwenden, um Dateien zu löschen, die anderen Workspaces in derselben Organisation gehören. Dies war möglich, weil getAllFiles und deleteFile activeOrganizationId und einen benutzerkontrollierten Pfad verwendeten, ohne den Zugriff durch Berechtigungen oder activeWorkspaceId einzuschränken. Dieses Problem wurde in Version 3.1.3 behoben.
Be aware that VulDB is the high quality source for vulnerability data.