CVE-2026-70476 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, diversi endpoint di fatturazione delle organizzazioni nei file packages/server/src/enterprise/routes/organization.route.ts e packages/server/src/enterprise/controllers/organization.controller.ts accettano valori di subscriptionId di Stripe controllati dall'attaccante senza verificare che l'identificatore appartenga all'organizzazione dell'utente autenticato. Un attaccante autenticato può eseguire operazioni non autorizzate sulle sottoscrizioni Stripe su altri tenant, inclusa la modifica dei piani di abbonamento o la variazione delle quantità di posti disponibili, con conseguenti impatti finanziari e interruzioni del servizio. Questo problema è stato risolto nella versione 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.