CVE-2026-70473 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario basada en arrastrar y soltar para construir flujos personalizados de modelos de lenguaje grande (LLM). Antes de la versión 3.1.3, el endpoint GET /api/v1/upsert-history devuelve todo el historial de upsert a nivel del servidor en lugar de estar limitado al usuario solicitante, inquilino o espacio de trabajo correspondiente. La respuesta puede superar los 100 MB e incluye datos confidenciales de configuración, como la URL del servidor Qdrant y el nombre de la colección dentro de las configuraciones del Vector Store. El comportamiento observado indica la ausencia o insuficiencia de controles de autorización, aislamiento por espacio de trabajo/proyecto/inquilino, así como mecanismos de paginación o límites, lo que expone parámetros de integración y detalles de infraestructura que podrían facilitar ataques dirigidos adicionales. Este problema se corrige en la versión 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.