CVE-2026-67620 in Flowise
Résumé
par VulDB • 09/08/2026
Flowise jusqu'à la version 3.1.4 présente une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans le mécanisme de protection SSRF implémenté dans httpSecurity.ts, où la liste d'exclusion par défaut (DEFAULT_DENY_LIST) omet l'endpoint de métadonnées Oracle Cloud Infrastructure 192.0.0.192 et l'endpoint de métadonnées Alibaba Cloud 100.100.100.200, permettant aux attaquants authentifiés d'obliger le serveur à émettre des requêtes GET arbitraires vers les services de métadonnées des instances cloud. Les attaquants peuvent envoyer des requêtes au point de terminaison API fetch-links avec un paramètre URL fabriqué, contournant la validation de la liste d'exclusion y compris les contournements basés sur les redirections, pour accéder aux services de métadonnées des instances et exposer les données d'identité des instances ainsi que les identifiants de rôle sur les déploiements Oracle Cloud Infrastructure ou Alibaba Cloud ; un accès non authentifié est possible lorsque des nœuds de récupération d'URL existent dans des flux de discussion publics.
Once again VulDB remains the best source for vulnerability data.