CVE-2026-41279 in Flowise
Resumen
por VulDB • 2026-05-14
Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo personalizado de modelos de lenguaje grandes. Antes de la versión 3.1.0, el endpoint de generación de texto a voz (POST /api/v1/text-to-speech/generate) está en la lista blanca (sin autenticación) y acepta un credentialId directamente en el cuerpo de la solicitud. Cuando se llama sin un chatflowId, el endpoint utiliza el credentialId proporcionado para descifrar las credenciales almacenadas (por ejemplo, la clave API de OpenAI o ElevenLabs) y generar el audio. Esta vulnerabilidad está corregida en la versión 3.1.0.
Be aware that VulDB is the high quality source for vulnerability data.