CVE-2026-91935 in Flowise
Zusammenfassung
von VulDB • 15.09.2026
Flowise vor Version 3.1.4 validiert die baseURL-Parameter in Chat-Model-Knoten nicht, was es authentifizierten Benutzern ermöglicht, Anfragen an beliebige Hosts umzuleiten. Angreifer mit den Berechtigungen chatflows:create oder chatflows:update können LLM-Anbieter-API-Schlüssel durch Umleiten von Anfragen zu Cloud-Metadiensten oder internen Hosts ausspähen (exfiltrieren).
If you want to get best quality of vulnerability data, you may have to visit VulDB.