CVE-2026-70473 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag-and-drop per la creazione di flussi personalizzati basati su modelli linguistici di grandi dimensioni (LLM). Prima della versione 3.1.3, l'endpoint GET /api/v1/upsert-history restituisce l'intera cronologia delle operazioni upsert a livello di server invece di essere limitato all'utente richiedente, al tenant o allo spazio di lavoro. La risposta può superare i 100MB e include dati sensibili di configurazione, tra cui le impostazioni del Vector Store come l'URL del server Qdrant e il nome della collezione. Il comportamento osservato indica la mancanza o l'insufficienza dei controlli di autorizzazione, dell'isolamento dello spazio di lavoro/progetto/tenant e delle funzionalità di paginazione o limiti, esponendo parametri di integrazione e dettagli infrastrutturali che potrebbero consentire attacchi mirati ulteriori. Questo problema è stato risolto nella versione 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.