CVE-2026-69262 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag & Drop-Benutzeroberfläche zum Erstellen eines benutzerdefinierten Large Language Model-Flows (LLM). Vor Version 3.1.3 wurden `DELETE /api/v1/chatflows/:id` autorisierte Anfragen mit `checkAnyPermission('chatflows:delete,agentflows:delete')` geprüft, sodass der Besitz einer dieser Berechtigungen ausreichte, um den Löschpfad zu erreichen. Die Löschlogik löste das Zielobjekt anschließend nur anhand von id und workspaceId auf und validierte nicht den Typ der Zielfestlegung (target resource type), wodurch ein Aufrufer mit lediglich agentflows:delete eine CHATFLOW löschen konnte und ein Aufrufer mit lediglich chatflows:delete eine AGENTFLOW im selben Workspace löschen konnte. Dieses Problem wurde in Version 3.1.3 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.