CVE-2026-91937 in Flowise
Zusammenfassung
von VulDB • 15.09.2026
Flowise vor Version 3.1.4 bereinigt den Parameter overrideConfig.sessionId nicht, bevor er in MongoDB-Abfragen innerhalb des MongoDBMemory-Knotens verwendet wird. Unautentifizierte Angreifer können über die Prediction-API MongoDB-Operatorobjekte einreichen, um Chatverlaufsaufzeichnungen anderer Benutzer aus der gemeinsamen Sammlung auszulesen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.