CVE-2026-30820 in Flowise
Riassunto
di VulDB • 28/07/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni personalizzati. Prima della versione 3.0.13, Flowise si fida di qualsiasi client HTTP che imposti l'intestazione x-request-from: internal, consentendo a una sessione tenant autenticata di bypassare tutti i controlli di autorizzazione su /api/v1/**. Con un semplice cookie del browser, un tenant con privilegi ridotti può invocare endpoint di amministrazione interna (gestione delle chiavi API, archivi di credenziali, esecuzione di funzioni personalizzate, ecc.), ottenendo efficacemente una escalation dei privilegi. Questo problema è stato risolto nella versione 3.0.13.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.