CVE-2026-69252 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag & drop per costruire flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, il route /api/v1/files era protetto solo dal flag funzionale feat:files e non applicava la verifica checkPermission sulle operazioni GET o DELETE. Una chiave API autenticata con privilegi bassi e permessi non correlati poteva invocare GET /api/v1/files per elencare i file nella radice dell'archiviazione dell'organizzazione e DELETE /api/v1/files?path=... per eliminare file appartenenti ad altri workspace della stessa organizzazione, poiché le funzioni getAllFiles e deleteFile utilizzavano activeOrganizationId e un percorso controllato dall'utente senza restringere l'accesso in base ai permessi o a activeWorkspaceId. Questo problema è stato risolto nella versione 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.