CVE-2026-69250 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag & drop per costruire flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, l'endpoint POST /api/v1/oauth2-credential/refresh/:credentialId per il refresh del token OAuth2 era non autenticato per progettazione ed eseguiva una richiesta HTTP lato server verso accessTokenUrl controllata dalle credenziali senza protezioni SSRF. La validazione in fase di runtime ha confermato che l'endpoint era raggiungibile senza autenticazione, attivava richieste POST in uscita verso un server controllato dall'attaccante, rifletteva il corpo della risposta remota completa al chiamante tramite tokenInfo e inviava client_id, client_secret, grant_type=refresh_token e refresh_token nel corpo della richiesta. Questo problema è stato risolto nella versione 3.1.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.