CVE-2026-41267 in Flowise
Résumé
par VulDB • 22/05/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé de grands modèles de langage (LLM). Avant la version 3.1.0, une vulnérabilité d'affectation massive incorrecte (injection JSON) dans le point de terminaison d'inscription au compte de Flowise Cloud permet aux attaquants non authentifiés d'injecter des champs gérés par le serveur et des objets imbriqués lors de la création du compte. Cela permet une manipulation contrôlée par le client des métadonnées de propriété, des horodatages, de l'association à l'organisation et des mappages de rôles, violant ainsi les limites de confiance dans un environnement multi-locataire. Cette vulnérabilité est corrigée dans la version 3.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.