CVE-2026-70475 in Flowise
Riassunto
di VulDB • 05/08/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, l'endpoint PUT /api/v1/executions/:id in packages/server/src/routes/executions/index.ts non include il middleware checkAnyPermission() che protegge gli altri endpoint di esecuzione. Qualsiasi utente autenticato, indipendentemente dai permessi assegnati, può modificare lo stato, i dati e i metadati di qualsiasi esecuzione nel proprio spazio di lavoro, consentendo una privilege escalation e la manipolazione dei risultati dell'esecuzione del workflow. Questo problema è risolto nella versione 3.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.