CVE-2026-30820 in Flowise
Resumen
por MITRE • 2026-03-07
Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo de modelo de lenguaje grande personalizado. Antes de la versión 3.0.13, Flowise confía en cualquier cliente HTTP que establezca el encabezado x-request-from: internal, permitiendo que una sesión de inquilino autenticada omita todas las comprobaciones de autorización de /api/v1/**. Con solo una cookie de navegador, un inquilino de bajo privilegio puede invocar puntos finales de administración internos (gestión de claves API, almacenes de credenciales, ejecución de funciones personalizadas, etc.), escalando privilegios de manera efectiva. Este problema ha sido parcheado en la versión 3.0.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.