CVE-2026-30820 in Flowise
要約
〜によって VulDB • 2026年07月29日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。バージョン3.0.13より前では、Flowiseはx-request-from: internalヘッダーを設定するすべてのHTTPクライアントを信頼するため、認証済みテナントセッションが/api/v1/**のすべての認可チェックをバイパスできます。ブラウザクッキーのみで、低権限のテナントが内部管理エンドポイント（APIキー管理、資格情報ストア、カスタム関数の実行など）を呼び出すことができ、事実上特権昇格が可能になります。この問題はバージョン3.0.13で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.