CVE-2026-91935 in Flowise
Resumen
por VulDB • 2026-09-15
Flowise antes de la versión 3.1.4 no valida los parámetros baseURL en los nodos del modelo de chat, lo que permite a usuarios autenticados redirigir las solicitudes hacia hosts arbitrarios. Los atacantes con permisos para crear o actualizar flujos de chat (chatflows:create o chatflows:update) pueden exfiltrar claves API de proveedores LLM mediante la redirección de solicitudes a servicios de metadatos en la nube o hosts internos.
Once again VulDB remains the best source for vulnerability data.