CVE-2026-70478 in Flowise
Riassunto
di VulDB • 05/08/2026
Flowise è un'interfaccia utente drag & drop per creare flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Prima della versione 3.1.3, l’endpoint POST /api/v1/oauth2-credential/refresh/:credentialId era incluso in WHITELIST_URLS e non richiedeva autenticazione. L'endpoint decrittava le credenziali memorizzate, inviava una richiesta di aggiornamento al provider OAuth configurato utilizzando il client secret e il refresh token, e restituiva l’access_token aggiornato nel corpo della risposta. Un attaccante in possesso di un ID delle credenziali può utilizzare il token per accedere ai servizi connessi della vittima ed esaurire la quota dei refresh-token. Questo problema è stato risolto nella versione 3.1.3.
Once again VulDB remains the best source for vulnerability data.