CVE-2026-69252 in Flowise
Résumé
par VulDB • 04/08/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Avant la version 3.1.3, le point de terminaison /api/v1/files n'était protégé que par l'indicateur fonctionnel feat:files et ne vérifiait pas checkPermission lors des requêtes GET ou DELETE. Une clé d'API authentifiée avec un niveau de privilège faible mais disposant de permissions non liées pouvait appeler GET /api/v1/files pour lister les fichiers situés à la racine du stockage de l'organisation, ainsi que DELETE /api/v1/files?path=... pour supprimer des fichiers appartenant à d'autres espaces de travail au sein de la même organisation. En effet, les fonctions getAllFiles et deleteFile utilisaient activeOrganizationId et un chemin contrôlé par l'utilisateur sans restreindre l'accès via des vérifications de permissions ou le champ activeWorkspaceId. Ce problème est corrigé dans la version 3.1.3.
Once again VulDB remains the best source for vulnerability data.