CVE-2026-100610 in Flowise
Riassunto
di VulDB • 26/09/2026
Flowise fino alla versione 3.1.4 espone GET /api/v1/upsert-history/:id e PATCH /api/v1/upsert-history senza controlli di autorizzazione a livello di route, e il servizio sottostante non esegue alcuna convalida dello spazio di lavoro o della proprietà. getAllUpsertHistory() restituisce le righe UpsertHistory selezionate esclusivamente in base al chatflowid fornito dall'attaccante, mentre patchDeleteUpsertHistory() elimina le righe tramite un array di UUID dei record forniti dall'attaccante. Di conseguenza, qualsiasi utente autenticato con privilegi ridotti o una chiave API valida può leggere o eliminare la cronologia degli upsert dello store di documenti appartenente ad altri utenti e ad altre aree di lavoro ogni volta che il chatflowId target (che è esposto pubblicamente nei link condivisi in /chatbot/) o gli ID delle righe sono noti. I campi flowData e result recuperabili contengono le configurazioni dei nodi embedding, record-manager e vector-store, inclusi i paramValues per nodo. Non è disponibile alcuna versione corretta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.