CVE-2026-69251 in Flowise
Résumé
par VulDB • 05/08/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Avant la version 3.1.3, les nœuds Record Manager et Agent Memory de Flowise permettaient aux utilisateurs de définir des options arbitraires pour TypeORM DataSource via l'entrée `additionalConfig` dans les fichiers suivants : packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts, packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts, packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts, packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts et packages/components/nodes/memory/AgentMemory/AgentMemory.ts. Les options TypeORM DataSource telles que `entities`, `subscribers` et `migrations` peuvent charger des fichiers JavaScript locaux, permettant à un utilisateur authentifié d'exécuter du code arbitraire sur le serveur en téléchargeant une charge utile JavaScript (payload) et en y faisant référence depuis `additionalConfig.entities`. Ce problème est corrigé dans la version 3.1.3.
Once again VulDB remains the best source for vulnerability data.