CVE-2026-69257 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario tipo arrastrar y soltar para construir un flujo personalizado de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, el módulo de seguridad HTTP `httpSecurity.ts` de Flowise no normalizaba las direcciones IPv6 mapeadas a IPv4, como `::ffff:127.0.0.1` y `::ffff:169.254.169.254`, antes de comprobarlas contra la lista de denegación (deny list). Dado que ipaddr.js informa estas direcciones como ipv6 mientras que las entradas IPv4 CIDR en la deny list son ipv4, isDeniedIP() omitía las comprobaciones CIDR IPv4. Un atacante que controle la resolución DNS para un nombre de host utilizado por el Nodo HTTP, API Chain, Document Loader, herramienta MCP u otras rutas que usan secureAxiosRequest(), secureFetch() o checkDenyList() podría devolver un registro AAAA para un objetivo mapeado a IPv4 y provocar que las solicitudes lleguen al localhost, servicios internos o puntos finales de metadatos en la nube. Este problema se corrige en la versión 3.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.