CVE-2026-69258 in Flowise
Résumé
par VulDB • 04/08/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Avant la version 3.1.3, le point de terminaison POST /api/v1/prediction/:id non authentifié acceptait un objet overrideConfig et l'étendait sans condition dans les objets internes flowConfig et flowData situés dans packages/server/src/utils/buildChatflow.ts et packages/server/src/utils/index.ts, sans vérifier apiOverrideStatus. Cela permettait aux attaquants non authentifiés d'injecter des propriétés arbitraires dans le contexte d'exécution du flux de n'importe quel chatflow public, de remplacer des valeurs telles que chatId, sessionId et chatHistory, ainsi que de contrôler les valeurs résolues via les variables de modèle $flow.* consommées par les nœuds du flux. Ce problème est corrigé dans la version 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.