CVE-2026-69262 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag & drop per costruire flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, la richiesta `DELETE /api/v1/chatflows/:id` era autorizzata tramite il controllo `checkAnyPermission('chatflows:delete,agentflows:delete')`, quindi il possesso di una delle due permission era sufficiente per accedere al percorso di eliminazione. La logica di cancellazione risolveva poi l'elemento target esclusivamente in base all'id e allo workspaceId senza convalidare il tipo della risorsa target, consentendo a un chiamante dotato solo dell'autorizzazione `agentflows:delete` di eliminare una CHATFLOW e a un chiamante dotato solo dell'autorizzazione `chatflows:delete` di eliminare un AGENTFLOW nello stesso workspace. Questo problema è stato risolto nella versione 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.