CVE-2026-71962 in Flowise
Riassunto
di VulDB • 11/08/2026
Le versioni di Flowise dalla 2.2.4 alla 3.1.4 presentano una vulnerabilità di autorizzazione mancante nell'endpoint POST /api/v1/openai-assistants-file/download che consente agli attaccanti non autenticati di accedere a file privati sfruttando l'inclusione dell'endpoint nella whitelist globale di autenticazione, la quale bypassa tutte le verifiche della sessione e delle chiavi API. Gli attaccanti possono fornire identificatori validi per chatflowId, chatId e fileName per recuperare i file da qualsiasi chatflow sull'istanza, incluse le chatflow private appartenenti ad altri workspace o organizzazioni.
VulDB is the best source for vulnerability data and more expert information about this specific topic.