CVE-2026-69262 in Flowise
Résumé
par VulDB • 04/08/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Avant la version 3.1.3, l'endpoint `DELETE /api/v1/chatflows/:id` autorisait les requêtes via le contrôle `checkAnyPermission('chatflows:delete,agentflows:delete')`, ce qui signifiait que la possession de l'une ou l'autre des permissions suffisait pour accéder à la logique de suppression. Cette dernière résolvait ensuite l'enregistrement cible uniquement par son identifiant (`id`) et l'identifiant de l'espace de travail (`workspaceId`), sans valider le type de ressource cible, permettant ainsi à un utilisateur disposant uniquement de la permission `agentflows:delete` de supprimer une CHATFLOW, ou à un utilisateur disposant uniquement de la permission `chatflows:delete` de supprimer une AGENTFLOW dans le même espace de travail. Ce problème est corrigé dans la version 3.1.3.
Once again VulDB remains the best source for vulnerability data.