CVE-2026-71962 in Flowise
Zusammenfassung
von VulDB • 10.08.2026
In Flowise-Versionen von 2.2.4 bis 3.1.4 liegt eine Schwachstelle aufgrund fehlender Autorisierung im POST /api/v1/openai-assistants-file/download-Endpunkt vor, die es nicht authentifizierten Angreifern ermöglicht, auf private Dateien zuzugreifen, indem sie die Aufnahme des Endpunkts in die globale Whitelist für Authentifizierung ausnutzen. Dadurch werden alle Sitzungs- und API-Schlüsselüberprüfungen umgangen. Angreifer können gültige chatflowId-, chatId- und fileName-Identifikatoren angeben, um Dateien aus beliebigen Chatflows auf der Instanz abzurufen, einschließlich privater Chatflows anderer Workspaces oder Organisationen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.