CVE-2026-70478 in Flowise
Resumen
por VulDB • 2026-08-04
Flowise es una interfaz de usuario con funcionalidad drag & drop para construir flujos personalizados de modelos de lenguaje grandes (LLM). Antes de la versión 3.1.3, el endpoint POST /api/v1/oauth2-credential/refresh/:credentialId está incluido en WHITELIST_URLS y no requiere autenticación. El endpoint descifra las credenciales almacenadas, envía una solicitud de actualización al proveedor OAuth configurado con el client secret y el refresh token, y devuelve el access_token actualizado en el cuerpo de la respuesta. Un atacante que disponga de un credential ID puede utilizar este token para acceder al servicio conectado de la víctima y también agotar la cuota del refresh-token. Este problema se corrige en la versión 3.1.3.
Once again VulDB remains the best source for vulnerability data.