CVE-2026-70475 in Flowise
Resumen
por VulDB • 2026-08-05
Flowise es una interfaz de usuario con funcionalidad drag & drop para construir flujos personalizados de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, el endpoint PUT /api/v1/executions/:id en packages/server/src/routes/executions/index.ts carece del middleware checkAnyPermission() que protege a otros endpoints relacionados con ejecuciones. Cualquier usuario autenticado, independientemente de los permisos asignados, puede modificar el estado, los datos y los metadatos de cualquier ejecución dentro de su espacio de trabajo, lo que permite una escalada de privilegios y la manipulación de los resultados de la ejecución del flujo de trabajo. Este problema se corrige en la versión 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.