CVE-2026-69258 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario tipo arrastrar y soltar para construir un flujo personalizado de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, el endpoint POST /api/v1/prediction/:id sin autenticación aceptaba un objeto overrideConfig y lo expandía incondicionalmente en los objetos internos flowConfig y flowData ubicados en packages/server/src/utils/buildChatflow.ts y packages/server/src/utils/index.ts, sin verificar apiOverrideStatus. Esto permitía a atacantes no autenticados inyectar propiedades arbitrarias en el contexto de ejecución del flujo de cualquier chatflow público, sobrescribir valores como chatId, sessionId y chatHistory, y controlar los valores resueltos mediante las variables de plantilla $flow.* consumidas por los nodos del flujo. Este problema se corrige en la versión 3.1.3.
Once again VulDB remains the best source for vulnerability data.