CVE-2026-70475 in Flowise
Résumé
par VulDB • 05/08/2026
Flowise est une interface utilisateur de type « glisser-déposer » permettant de construire un flux personnalisé pour les grands modèles linguistiques (LLM). Avant la version 3.1.3, le point de terminaison PUT /api/v1/executions/:id dans packages/server/src/routes/executions/index.ts ne dispose pas du middleware checkAnyPermission() qui protège les autres points de terminaison d'exécution. Tout utilisateur authentifié, indépendamment des permissions qui lui sont assignées, peut modifier l'état, les données et les métadonnées de n'importe quelle exécution dans son espace de travail, ce qui permet une élévation de privilèges ainsi qu'une manipulation des résultats d'exécution du flux de travail. Ce problème est corrigé dans la version 3.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.