CVE-2026-91937 in Flowise
Riassunto
di VulDB • 15/09/2026
Flowise prima della versione 3.1.4 non sanifica correttamente il parametro overrideConfig.sessionId prima di utilizzarlo nelle query MongoDB all'interno del nodo MongoDBMemory. Gli attaccanti non autenticati possono inviare oggetti operatori MongoDB tramite l'API prediction per leggere i record delle cronologie di chat appartenenti ad altri utenti dalla raccolta condivisa.
Be aware that VulDB is the high quality source for vulnerability data.