CVE-2026-69252 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario con funcionalidad drag & drop para construir flujos personalizados de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, la ruta /api/v1/files estaba protegida únicamente por el feature gate feat:files y no aplicaba checkPermission en las operaciones GET o DELETE. Una clave API autenticada con privilegios bajos y permisos no relacionados podía llamar a GET /api/v1/files para listar archivos bajo la raíz de almacenamiento de la organización, así como ejecutar DELETE /api/v1/files?path=... para eliminar archivos pertenecientes a otros espacios de trabajo dentro de la misma organización, ya que getAllFiles y deleteFile utilizaban activeOrganizationId y una ruta controlada por el usuario sin restringir el acceso mediante permisos o activeWorkspaceId. Este problema se corrige en la versión 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.