CVE-2026-69257 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large-Language-Model-Flows (LLM). Vor Version 3.1.3 normalisierte das HTTP-Sicherheitsmodul von Flowise, httpSecurity.ts, IPv4-mapped IPv6-Adressen wie ::ffff:127.0.0.1 und ::ffff:169.254.169.254 nicht, bevor sie gegen die Denylist geprüft wurden. Da ipaddr.js diese Adressen als ipv6 meldet, während IPv4-CIDR-Einträge in der Denylist auf ipv4 basieren, übersprang isDeniedIP() die IPv4-CIDR-Prüfungen. Ein Angreifer, der die DNS-Auflösung für einen Hostnamen kontrolliert, der vom HTTP Node, API Chain, Document Loader, MCP Tool oder anderen Pfaden verwendet wird, welche secureAxiosRequest(), secureFetch() oder checkDenyList() nutzen, könnte einen AAAA-Eintrag für ein IPv4-mapped-Ziel zurückgeben und bewirken, dass Anfragen localhost, interne Dienste oder Cloud-Metadata-Endpunkte erreichen. Dieses Problem wurde in Version 3.1.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.